Ένα ψεύτικο email «PayPal Support» μπορεί να περάσει κάθε έλεγχο ασφαλείας που σας είπαν να εμπιστεύεστε

Ναι, ένα ψεύτικο email μπορεί να περάσει το DMARC ενώ η γραμμή From διαβάζει «PayPal Support» ή «Chase Fraud Department». Τα τρία γράμματα πρωτόκολλα που όλοι παραθέτουν ως απόδειξη ότι ένα email είναι αληθινό — SPF, DKIM, DMARC — επαληθεύουν μόνο τον τομέα αποστολής και την κρυπτογραφική υπογραφή. Το όνομα εμφάνισης, το τμήμα που διαβάζει ο άνθρωπος πρώτα, δεν ελέγχεται ποτέ. Το σήμα εμπιστοσύνης προστατεύει το πεδίο που κανείς δεν κοιτάζει.

Μπορεί πραγματικά ένα ψεύτικο email να περάσει το DMARC με ψεύτικο όνομα εμφάνισης;

Μπορεί, και ο λόγος είναι ενσωματωμένος στο πρότυπο. Το RFC 7489, η προδιαγραφή DMARC, είναι ρητό ότι αφορά μόνο τον τομέα στην κεφαλίδα «RFC5322.From» — το τμήμα μετά το σύμβολο @. Δεν αναφέρει τίποτα για το όνομα εμφάνισης, την ελεύθερη ετικέτα κειμένου που προηγείται της διεύθυνσης. Έτσι ένας επιτιθέμενος που ελέγχει έναν συνηθισμένο τομέα όπως support-team-alerts.com, ρυθμίζει σωστά τα αρχεία SPF και DKIM, και στέλνει από billing@support-team-alerts.com θα πάρει μια καθαρή διέλευση DMARC. Απλώς ορίζει το όνομα εμφάνισης σε «PayPal Service». Τεχνικά άψογη επαλήθευση. Εντελώς ανέντιμη παρουσίαση.

Τα περισσότερα email clients το χειροτερεύουν. Τα κινητά τηλέφωνα ειδικά εμφανίζουν το φιλικό όνομα και κρύβουν τη διεύθυνση εντελώς μέχρι να το πατήσετε. Βλέπετε «PayPal Service»· η πραγματική support-team-alerts.com είναι κρυμμένη πίσω από ένα σύμβολο που ποτέ δεν θα πατήσετε.

Τι ελέγχει πραγματικά το DMARC, λοιπόν;

Το DMARC ελέγχει ότι ο τομέας στην κεφαλίδα From ευθυγραμμίζεται με έναν τομέα που ο αποστολέας είναι εξουσιοδοτημένος να χρησιμοποιεί — και τίποτα περισσότερο. Το SPF επιβεβαιώνει ότι η IP του διακομιστή αποστολής είναι στη λίστα εγκριμένων του τομέα. Το DKIM προσθέτει μια κρυπτογραφική υπογραφή που συνδέεται με έναν τομέα. Το έργο του DMARC είναι «alignment»: διασφαλίζει ότι ο τομέας που επαλήθευσε το SPF ή το DKIM ταιριάζει με τον ορατό τομέα From, ώστε να μην μπορείτε να περάσετε την επαλήθευση σε evil.com ενώ ισχυρίζεστε ότι είστε paypal.com.

Αυτό είναι πραγματικά χρήσιμο. Γι' αυτό η απλή προσωποποίηση τομέα των μεγάλων εμπορικών σημάτων έχει γίνει δυσκολότερη, και γι' αυτό η Google και η Yahoo άρχισαν να απαιτούν DMARC για αποστολείς χύδην σε Φεβρουάριο 2024. Αλλά η M3AAWG, η ομάδα κλάδου που γράφει την καθοδήγηση για επαλήθευση αποστολέα, είναι σαφή ότι αυτά τα πρωτόκολλα επαληθεύουν τον τομέα, όχι την πρόθεση ή τη διατύπωση. Ο φάκελος μπορεί να είναι αληθινός ενώ το μήνυμα είναι ψεύδος.

Γιατί το όνομα εμφάνισης περνά ελεύθερα;

Επειδή το email κατασκευάστηκε πριν ο κάποιος φανταστεί ότι θα κινούσε χρήματα, και το όνομα εμφάνισης σχεδιάστηκε να είναι φιλικό, όχι επαληθευμένο. Είναι μια ετικέτα ευγένειας. Δεν υπάρχει μητρώο ποιος μπορεί να ονομάζει τον εαυτό του «Apple Billing», δεν υπάρχει έλεγχος κατά σημάτων κ.τ.λ. Μπορείτε να ορίσετε το δικό σας ως «Πάπας». Τα πρότυπα email το αντιμετωπίζουν ως διακόσμηση, έτσι τα βήματα επαλήθευσης το παραβλέπουν.

Έτσι λειτουργεί και μια αυξανόμενη κατηγορία απάτης: spoofing ονόματος εμφάνισης σε ζεύγος με έναν τομέα που μοιάζει νόμιμος. Το Internet Crime Complaint Center του FBI κατέγραψε πάνω από $2.9 δισεκατομμύρια σε απώλειες συμβιβασίας email επιχειρήσεων σε 2023 — και η BEC στηρίζεται σε μεγάλο βαθμό σε αυτό το κόλπο, ένα όνομα που φαίνεται αξιόπιστο πάνω από μια διεύθυνση που ο στόχος ποτέ δεν εξέτασε κριτικά. Όλα τα πρωτόκολλα πέρασαν. Τα χρήματα παρόλα αυτά έφυγαν.

Πώς διαβάζετε στην πραγματικότητα τη γραμμή From τώρα;

Σταματήστε να διαβάζετε το όνομα και διαβάστε τη διεύθυνση. Σε desktop, αιωρήστε το ποντίκι ή κάντε κλικ για να επεκτείνετε το πλήρες user@domain και κάντε μια ερώτηση: είναι αυτός ο τομέας που χρησιμοποιεί η πραγματική εταιρεία, γράμμα προς γράμμα; Το PayPal στέλνει από paypal.com, όχι paypal-secure.net ή service-paypal.com. Σε mobile, πατήστε τον αποστολέα για να αποκαλύψετε τη διεύθυνση πριν πατήσετε οτιδήποτε άλλο.

Στη συνέχεια ένας δεύτερος έλεγχος: θα απευθυνόταν αυτή η οργάνωση σε σας με ένα γενικό χαιρετισμό και θα σας προώθησε προς ένα σύνδεσμο σύνδεσης αντί για απαίτηση που δεν περιμένατε; Αυτό είναι το τμήμα που κανένα header δεν επαληθεύει. Αυτό είναι επίσης όπου η φιλτραρισμένη AI κερδίζει το μετάλλιό της — εργαλεία όπως xmail's scam flagging συγκρίνουν το όνομα εμφάνισης έναντι του επαληθευμένου τομέα και εκθέτουν την ανταπόκριση, αντί να εμπιστεύονται την φιλική ετικέτα που το μάτι σας κάνει. Μια διέλευση DMARC σας λέει ότι ο τομέας είναι όποιος λέει. Δεν σας είπε ποτέ ότι το όνομα ήταν.