read receipts
דוא"ל זיופי של 'תמיכת PayPal' יכול לעבור כל בדיקת אבטחה שנאמר לך לסמוך עליה
SPF, DKIM ו-DMARC שומרים על החלק של דוא"ל שלעולם לא רואים — ומשאירים את השם שאתה קורא בעצם פתוח.
כן, דוא"ל זיופי יכול להחליק דרך DMARC בזמן שהשורה From קוראת "PayPal Support" או "Chase Fraud Department". שלושת פרוטוקולי האותיות שכולם מצטטים כהוכחה שדוא"ל אמיתי — SPF, DKIM, DMARC — מאמתים רק את התחום הנשלח ואת החתימה ההצפנה. שם התצוגה, החלק הקריא לאדם שהעין שלך נוחתת עליו ראשונה, לעולם לא נבדק. תג האמון שומר על השדה שאף אחד לא מסתכל עליו.
האם דוא"ל זיופי באמת יכול לעבור DMARC עם שם תצוגה מזויף?
זה יכול, והסיבה חקוקה בתוך הסטנדרט. RFC 7489, המפרט DMARC, מפורש שהוא עוסק רק בתחום בכותרת "RFC5322.From" — החלק אחרי סימן @. זה לא אומר כלום על שם התצוגה, התווית טקסט חופשי שמופיעה לפני הכתובת. אז התוקף ששולט בתחום רגיל כמו support-team-alerts.com, קובע רשומות SPF ו-DKIM נכונות, וגורם לשלוח מ-billing@support-team-alerts.com יקבל מעבר DMARC נקי. הם פשוט קובעים את שם התצוגה ל-"PayPal Service". אימות תקני לחלוטין. הצגה לא כנה לחלוטין.
רוב לקוחות הדוא"ל אז מחמירים זאת. טלפונים בפרט מציגים את השם החברותי והסתרים את הכתובת לחלוטין עד שאתה מקיש עליו. אתה רואה "PayPal Service"; ה-support-team-alerts.com בפועל יושב מאחורי שברון שלעולם לא תלחץ עליו.
אז מה בדיוק DMARC בודק?
DMARC בודק שהתחום בכותרת From מסתדר עם תחום שהשולח מורשה להשתמש בו — ולא יותר מזה. SPF מאשר שה-IP של שרת השליחה נמצא ברשימה המאומתת של התחום. DKIM מוסיף חתימה הצפנה הקשורה לתחום. התפקיד של DMARC הוא "alignment": זה מוודא שהתחום שהתאמת SPF או DKIM מתאים לתחום From הגלוי, כך שלא תוכל להעביר אימות על evil.com בעוד שאתה מתיימר להיות paypal.com.
זה באמת שימושי. זו הסיבה שהחזקות תחום ישירות של מותגים גדולים הפכו קשות יותר, וזו הסיבה ש-Google ו-Yahoo החלו לדרוש DMARC לשולחי בקיום בפברואר 2024. אך M3AAWG, קבוצת התעשייה שכותבת הנחיות אימות שולח, ברורה שהפרוטוקולים האלו מאמתים את התחום, לא את הכוונה או הנוסח. הקונבלט יכול להיות אמיתי בזמן שההודעה היא שקר.
למה שם התצוגה מקבל מעבר חינם?
כי הדוא"ל נבנה לפני שמישהו דמיין שהוא יזוז כסף, ושם התצוגה תוכנן להיות ידידותי, לא מאומת. זה תווית אדיבות. אין רישום של מי רשאי להכנס לעצמו "Apple Billing", אין בדיקה כנגד סימן מסחרי, כלום. אתה יכול להגדיר את שלך ל-Pope. סטנדרטים דוא"ל מתייחסים אליו כעיצוב, כך שצעדים אימות ממש מעליו.
זו גם הדרך שקטגוריה גדלה של הונאה פועלת: זיוף שם תצוגה שזור עם תחום דומה שנראה לגיטימי. Internet Crime Complaint Center של ה-FBI רשם יותר מ-$2.9 billion בהפסדי פשרת דוא"ל עסקי בשנת 2023 — ו-BEC נשען בכבדות על בדיוק הטריק הזה, שם מהימן על כתובת שהמטרה לעולם לא בדקה. הפרוטוקולים כולם עברו. הכסף עדיין עזב.
איך אתה בעצם קורא את שורת From עכשיו?
הפסיקו לקרוא את השם וקראו את הכתובת. בשולחן עבודה, תנו סימן או לחצו כדי להרחיב את user@domain המלא ושאלו שאלה אחת: האם זה התחום שהחברה האמיתית משתמשת בו, אות אחרי אות? PayPal שולח מ-paypal.com, לא מ-paypal-secure.net או service-paypal.com. בנייד, הקש על השולח כדי לחשוף את הכתובת לפני שתקיש על כל דבר אחר.
אז בדיקה שנייה: האם ארגון זה יתייחס אליך בברכה כללית ויצרור אותך לעבר קישור כניסה על פני דרישה שלא ציפית? זה החלק שאף כותרת לא מאמתת. זו גם המקום שבו AI filtering זוכה לשכר שלו — כלים כמו xmail's scam flagging משווים את שם התצוגה כנגד התחום המאומת ועולים על החוסר התאמה, במקום לסמוך על התווית הידידותית שהעין שלך עושה. מעבר DMARC אומר לך שהתחום הוא מי שזה אומר. זה לעולם לא אמר לך שהשם היה.
מקורות
- RFC 7489 (DMARC) — IETF specification; defines what DMARC authenticates
- M3AAWG Sender Authentication guidance — industry guidance on SPF/DKIM/DMARC scope
- FBI IC3 2023 Internet Crime Report — $2.9B in BEC losses
- Google bulk sender requirements — DMARC required for bulk senders from Feb 2024