Väärennetty "PayPal-tuki" -sähköposti voi läpäistä jokaisen turvatarkistuksen, joihin olet opetettu luottamaan

Kyllä, väärennetty sähköposti voi lentää DMARC:in läpi niin, että lähettäjärivissä lukee "PayPal Support" tai "Chase Fraud Department". Kolme kirjainta sisältävät protokollat, joiden kaikki mainitsevat todisteeksi sähköpostin oikeellisuudesta — SPF, DKIM, DMARC — varmistavat vain lähettävän verkkotunnuksen ja salakirjoitettavan allekirjoituksen. Näyttönimi, inhimillisesti luettava osa, johon silmäsi kohdistuu ensiksi, ei koskaan tarkistetaan. Luottomerkki suojaa kenttää, jota kukaan ei katsele.

Voiko väärennetty sähköposti todella läpäistä DMARC:in väärällä näyttönimellä?

Voi, ja syy on upotettu standardiin. RFC 7489, DMARC-spesifikaatio, on nimenomaan selvä siitä, että se koskee vain verkkotunnusta "RFC5322.From" -otsikossa — osaa @-merkin jälkeen. Se ei sano mitään näyttönimestä, vapaasta tekstiotsikosta, joka tulee osoitteen edelle. Joten hyökkääjä, joka hallitsee tavallista verkkotunnusta kuten support-team-alerts.com, asettaa oikeat SPF- ja DKIM-tietueet ja lähettää osoitteesta billing@support-team-alerts.com saa puhtaan DMARC-läpäisyn. He asettavat näyttönimen vain "PayPal Service" -nimiseksi. Teknisesti täydellinen todennus. Täysin epärehellinen esitystapa.

Useimmat sähköpostiohjelmistot tekevät sen sitten pahemmaksi. Erityisesti puhelimissa näytetään ystävällinen nimi ja piilotetaan osoite kokonaan, kunnes napautat sitä. Näet "PayPal Service"; todellinen support-team-alerts.com istuu takana chevron-merkin takana, jota et koskaan paina.

Mitä DMARC siis todella tarkistaa?

DMARC tarkistaa, että verkkotunnus From-otsikossa vastaa verkkotunnusta, jonka lähettäjä on valtuutettu käyttämään — eikä mitään muuta. SPF vahvistaa, että lähettävän palvelimen IP on verkkotunnuksen hyväksyttyjen joukossa. DKIM lisää verkkotunnukseen sidotun salakirjoitettavan allekirjoituksen. DMARC:in tehtävä on "tasaus": se varmistaa, että verkkotunnus, jonka SPF tai DKIM vahvisti, vastaa näkyvää From-verkkotunnusta, joten et voi läpäistä todennusta evil.com:lla väittäen olevansa paypal.com.

Se on todella hyödyllistä. Se on syy, miksi suurten brändien suora verkkotunnuksen identiteettivarkaus on vaikeutunut, ja miksi Google ja Yahoo alkoivat vaatia DMARC:ia joukkosähköpostille helmikuussa 2024. Mutta M3AAWG, alan ryhmä, joka kirjoittaa lähettäjien todennuksesta annettuja ohjeita, on selvä siitä, että nämä protokollat todentavat verkkotunnuksen, ei aikomusta tai sanavalintoja. Kirjekuori voi olla aito, vaikka viesti olisi valhe.

Miksi näyttönimi pääsee ilman tarkistusta?

Koska sähköposti rakennettiin ennen kuin kukaan kuvitteli sen liikuttavan rahaa, ja näyttönimi suunniteltiin olemaan ystävällinen, ei varmistettu. Se on kohtelias etiketti. Ei ole rekisteriä siitä, kuka saa kutsua itseään "Apple Billing", ei tavaramerkintarkistusta, mitään. Voit asettaa omasi kuninkaaksi. Sähköpostistandardit käsittelevät sitä koristeena, joten todennusvaiheet kävelevät sen yli.

Näin toimii myös kasvava petoskategoria: näyttönimen väärentäminen yhdessä uskottavan näköisen väärän verkkotunnuksen kanssa. FBI:n Internet Crime Complaint Center rekisteröi yli 2,9 miljardin dollarin liiketoimintasähköpostiin liittyvät pettämistappiot vuonna 2023 — ja BEC luottaa vahvasti juuri tähän temppuun, luotettavasti näyttävään nimeen yli osoitteen, jota vastaanottaja ei koskaan tutki. Protokollat kaikki menivät läpi. Raha silti lähti.

Kuinka luet lähettäjäriviä oikeastaan nyt?

Lopeta nimen lukeminen ja lue osoite. Työpöydällä pidä osoitinta tai napsauta koko käyttäjä@verkkotunnus laajentaaksesi ja kysyi yksi kysymys: onko tämä verkkotunnus, jota oikea yritys käyttää, kirjain kirjaimelta? PayPal lähettää paypal.com:sta, ei paypal-secure.net:istä tai service-paypal.com:sta. Mobiilissa napauta lähettäjää paljastamaan osoite ennen kuin napautat mitään muuta.

Sitten toinen tarkistus: puuttuuko tämä organisaatio sinuun yleisellä tervehdyksellä ja vetävät sinut kirjautumislinkkiin odottamattoman vaatimuksen yli? Se on osa, jota otsikko ei koskaan varmista. Tämä on myös paikka, jossa AI-suodatus ansaitsee paikkansa — työkalut kuten xmail:n petosten merkitseminen vertaavat näyttönimeä todentautuneeseen verkkotunnukseen ja nostavat esiin epäsuhdan sen sijaan, että luottaisivat ystävälliseen nimittelyyn samalla tavalla kuin silmäsi tekee. DMARC-läpäisy kertoo sinulle, että verkkotunnus on se, joka se väittää olevansa. Se ei koskaan kertonut sinulle, että nimi oli.