یک ایمیل جعلی «پشتیبانی پی‌پال» می‌تواند از تمام بررسی‌های امنیتی که به شما گفته شده است عبور کند

بله، یک ایمیل جعلی می‌تواند از DMARC عبور کند حتی زمانی که خط «From» به عنوان «PayPal Support» یا «Chase Fraud Department» نمایش داده شود. سه پروتکل حروفی که همه به عنوان اثبات واقعی بودن ایمیل به آنها استناد می‌کنند — SPF، DKIM، DMARC — فقط دامنه ارسال‌کننده و امضای رمزنگاری را تأیید می‌کنند. نام نمایشی، بخش قابل خواندن توسط انسان که چشمتان ابتدا به آن می‌افتد، هرگز بررسی نمی‌شود. نشان اعتماد بخشی را محافظت می‌کند که کسی به آن نگاه نمی‌کند.

آیا یک ایمیل جعلی واقعاً می‌تواند با یک نام نمایشی جعلی از DMARC عبور کند؟

بله، و دلیل آن در خود استاندارد نهفته است. RFC 7489، مشخصات DMARC، به وضوح بیان می‌کند که فقط به دامنه در هدر «RFC5322.From» مربوط می‌شود — بخش پس از علامت @. هیچ چیزی درباره نام نمایشی، برچسب متن آزادی که قبل از آدرس می‌آید، نمی‌گوید. پس یک مهاجم که یک دامنه معمولی مثل support-team-alerts.com را کنترل می‌کند، رکوردهای SPF و DKIM صحیح را راه‌اندازی می‌کند، و از billing@support-team-alerts.com ارسال می‌کند، یک تأیید DMARC تمیز دریافت خواهد کرد. آنها فقط نام نمایشی را روی «PayPal Service» تنظیم می‌کنند. احراز هویت از نظر فنی بی‌عیب. ارائه کاملاً بی‌انصافانه.

بیشتر برنامه‌های مشتری سپس این را بدتر می‌کنند. تلفن‌های همراه به‌ویژه نام دوستانه را نشان می‌دهند و آدرس را تا زمانی که آن را ضربه بزنید مخفی می‌کنند. شما «PayPal Service» را می‌بینید؛ آدرس واقعی support-team-alerts.com پشت یک دکمه chevron نشسته است که هرگز فشار نخواهید داد.

پس DMARC دقیقاً چه چیزی را بررسی می‌کند؟

DMARC بررسی می‌کند که دامنه در هدر From با دامنه‌ای که ارسال‌کننده اجازه استفاده از آن را دارد، هماهنگ است — و هیچ چیز فراتر از آن نیست. SPF تأیید می‌کند که IP سرور ارسال‌کننده در لیست تأیید شده دامنه قرار دارد. DKIM یک امضای رمزنگاری اضافه می‌کند که به یک دامنه گره خورده است. وظیفه DMARC «هماهنگی» است: اطمینان حاصل می‌کند که دامنه‌ای که SPF یا DKIM تأیید کرده‌اند با دامنه From قابل مشاهده مطابقت داشته باشد، بنابراین نمی‌توانید احراز هویت را بر روی evil.com عبور دهید و ادعا کنید که paypal.com هستید.

این واقعاً مفید است. این همان دلیلی است که انتحال دامنه کامل برندهای بزرگ سخت‌تر شده است، و دلیلی است که Google و Yahoo در فوریه 2024 شروع به الزام DMARC برای فرستندگان دسته‌ای کردند. اما M3AAWG، گروه صنعتی که راهنمایی احراز هویت ارسال‌کننده را می‌نویسد، واضح است که این پروتکل‌ها دامنه را احراز هویت می‌کنند، نه قصد یا الفاظ را. پاکت می‌تواند واقعی باشد در حالی که پیام دروغ است.

چرا نام نمایشی بدون هیچ بررسی‌ای رد می‌شود؟

زیرا ایمیل قبل از این‌که کسی تصور کند که پول را حرکت دهد، ساخته شده است، و نام نمایشی برای دوستانه بودن طراحی شد، نه تأیید شدن. این یک برچسب مجاملاتی است. هیچ ثبتی برای کسانی که می‌توانند خود را «Apple Billing» بنامند وجود ندارد، بدون هیچ بررسی علیه علامت تجاری، هیچ چیز نیست. شما می‌توانید خود را روی پاپ تنظیم کنید. استانداردهای ایمیل آن را به عنوان تزیین درمان می‌کنند، بنابراین مراحل احراز هویت بر روی آن می‌روند.

این همچنین چگونه دسته‌ای از کلاهبرداری رشد می‌کند: انتحال نام نمایشی به همراه یک دامنه شبیه‌سازی‌شده معقول است. مرکز شکایت جرایم اینترنتی FBI بیش از $2.9 میلیارد خسارت کلاهبرداری ایمیل کسب‌وکار در سال 2023 ثبت کرده است — و BEC به شدت به این ترفند متکی است، یک نام قابل اعتماد بر روی آدرسی که هدف هرگز بررسی نمی‌کند. پروتکل‌ها همه عبور کردند. پول هنوز رفت.

اکنون چگونه خط From را واقعاً بخوانید؟

خواندن نام را متوقف کنید و آدرس را بخوانید. روی دسک‌تاپ، بر روی نشانی کامل user@domain قرار دهید یا آن را کلیک کنید و یک سؤال پرسید: آیا این دامنه‌ای است که شرکت واقعی استفاده می‌کند، حرف به حرف؟ PayPal از paypal.com ارسال می‌کند، نه از paypal-secure.net یا service-paypal.com. روی موبایل، قبل از این‌که هر چیز دیگری را ضربه بزنید، بر روی فرستنده ضربه بزنید تا آدرس را نشان دهد.

سپس یک بررسی دوم: آیا این سازمان با یک سلام عمومی به شما خطاب می‌کند و شما را به سمت یک لینک ورود می‌کشاند بر فراز تقاضایی که انتظار نداشتید؟ این بخشی است که هیچ هدری تأیید نمی‌کند. این همچنین جایی است که فیلتراسیون AI به کار خود می‌آید — ابزارهایی مثل کشف کلاهبرداری xmail نام نمایشی را در برابر دامنه احراز شده مقایسه می‌کنند و عدم‌تطابق را به سطح می‌آورند، نه اینکه به برچسب دوستانه اعتماد کنند که چشمتان این کار را می‌کند. عبور DMARC به شما می‌گوید که دامنه آن‌چنان که می‌گوید است. هرگز به شما نگفت که نام واقعی است.