En falsk 'PayPal Support'-email kan passere alle sikkerhedstjek, du er blevet fortalt at stole på

Ja, en forfalsk email kan glide gennem DMARC, mens afsenderlinjen læser "PayPal Support" eller "Chase Fraud Department." De tre-bogstav-protokoller, som alle citerer som bevis for, at en email er ægte — SPF, DKIM, DMARC — verificerer kun afsenderdomænet og den kryptografiske signatur. Visningsnavnet, den menneskelig-læsbare del, dit øje lander på først, bliver aldrig tjekket. Tillidsmaerket beskytter det felt, som ingen ser på.

Kan en forfalsk email virkelig passere DMARC med et falsk visningsnavn?

Det kan den, og grunden er indbygget i standarden. RFC 7489, DMARC-specifikationen, er eksplicit om, at den kun vedrører domænet i "RFC5322.From"-headeren — delen efter @-tegnet. Den siger intet om visningsnavnet, det frit-tekst-label, som kommer før adressen. Så en angriber, der kontrollerer et almindeligt domæne som support-team-alerts.com, opsætter korrekte SPF- og DKIM-poster og sender fra billing@support-team-alerts.com, vil få en ren DMARC-godkendelse. De sætter bare visningsnavnet til "PayPal Service." Teknisk set fejlfri godkendelse. Fuldstændig uærlig præsentation.

De fleste mailklienter gør det så værre. Telefoner især viser det venlige navn og skjuler adressen helt, indtil du trykker på den. Du ser "PayPal Service"; det faktiske support-team-alerts.com sidder bag et chevron, du aldrig vil trykke.

Hvad tjekker DMARC så faktisk?

DMARC tjekker, at domænet i From-headeren stemmer overens med et domæne, som afsenderen har tilladelse til at bruge — og intet ud over det. SPF bekræfter, at afsenderserverens IP-adresse står på domænets godkendte liste. DKIM tilføjer en kryptografisk signatur knyttet til et domæne. DMARC's job er "alignment": det sikrer, at det domæne, SPF eller DKIM validerede, matcher det synlige From-domæne, så du ikke kan få godkendelse på evil.com, mens du påstår at være paypal.com.

Det er virkelig brugbart. Det er derfor, direkte domæneusurpation af store mærker er blevet sværere, og hvorfor Google og Yahoo begyndte at kræve DMARC for masseforsendelser i februar 2024. Men M3AAWG, industrigruppen, der skriver vejledning om afsenderautentificering, er klar over, at disse protokoller autentificerer domænet, ikke intentionen eller ordlyden. Kuverten kan være ægte, mens beskeden er løgn.

Hvorfor får visningsnavnet fri passage?

Fordi email blev bygget, før nogen forestillede sig, at det ville flytte penge, og visningsnavnet blev designet til at være venligt, ikke verificeret. Det er et høflighedslabel. Der er intet register over, hvem der må kalde sig "Apple Billing," ingen tjek mod varemærker, intet. Du kan sætte dit til Paven. Mailstandarder behandler det som dekoration, så autentificeringstrin går lige forbi det.

Det er også, hvordan en voksende kategori af svindel virker: visningsnavn-usurpation parret med et troværdigt udseende-lignende domæne. FBI's Internet Crime Complaint Center registrerede over $2,9 mia. i tab fra business email compromise i 2023 — og BEC læner sig stærkt på præcis dette trick, et troværdigt udseende navn over en adresse, som målet aldrig gransker. Protokollerne passerede alle. Pengene blev stadig sendt væk.

Hvordan læser du From-linjen faktisk nu?

Hold op med at læse navnet og læs adressen. På stationær computer, hold over eller klik for at udvide det fulde user@domain og stil ét spørgsmål: er dette det domæne, det rigtige selskab sender fra, bogstav for bogstav? PayPal sender fra paypal.com, ikke paypal-secure.net eller service-paypal.com. På mobil, tryk på afsenderen for at afsløre adressen, før du trykker på noget andet.

Så en anden tjek: ville denne organisation henvende sig til dig med en generisk hilsen og skubbe dig mod et loginlink over et krav, du ikke forventede? Det er den del, som ingen header verificerer. Det er også her, hvor AI-filtrering tjener sit formål — værktøjer som xmail's svinaflaging sammenligner visningsnavnet mod det autentificerede domæne og fremhæver uoverensstemmelsen i stedet for at stole på det venlige label, som dit øje gør. En DMARC-godkendelse fortæller dig, at domænet er, hvem det siger, det er. Det fortalte dig aldrig, at navnet var.