read receipts
एक नकली 'PayPal Support' ईमेल हर एक सुरक्षा जांच से गुज़र सकता है जिस पर आपको भरोसा करने को कहा गया है
SPF, DKIM और DMARC ईमेल के उस हिस्से की रक्षा करते हैं जो आप कभी नहीं देखते — और जिस नाम को आप असल में पढ़ते हैं उसे पूरी तरह खुला छोड़ देते हैं।
हाँ, एक स्पूफ़ किया गया ईमेल DMARC से गुज़र सकता है जबकि From लाइन "PayPal Support" या "Chase Fraud Department" दिखाती है। तीन अक्षर वाले प्रोटोकॉल जिन्हें हर कोई ईमेल के असली होने के प्रमाण के रूप में उद्धृत करता है — SPF, DKIM, DMARC — केवल भेजने वाले डोमेन और क्रिप्टोग्राफ़िक हस्ताक्षर की पुष्टि करते हैं। डिस्प्ले नाम, मानव-पठनीय बिट जिस पर आपकी नज़र पहले पड़ती है, कभी भी जाँचा नहीं जाता। ट्रस्ट बैज उस फील्ड की रक्षा करता है जिसे कोई नहीं देखता।
क्या एक स्पूफ़ किया गया ईमेल वाकई नकली डिस्प्ले नाम के साथ DMARC से गुज़र सकता है?
हाँ, और इसका कारण मानक में ही निहित है। RFC 7489, DMARC विशेषता, स्पष्ट रूप से कहता है कि यह केवल "RFC5322.From" हेडर में डोमेन से संबंधित है — @ चिन्ह के बाद का हिस्सा। यह डिस्प्ले नाम के बारे में कुछ नहीं कहता, वह फ्री-टेक्स्ट लेबल जो पते से पहले आता है। इसलिए एक हमलावर जो support-team-alerts.com जैसे एक साधारण डोमेन को नियंत्रित करता है, सही SPF और DKIM रिकॉर्ड सेट करता है, और billing@support-team-alerts.com से भेजता है, एक स्वच्छ DMARC पास प्राप्त करेगा। वह बस डिस्प्ले नाम को "PayPal Service" पर सेट करता है। तकनीकी रूप से निर्दोष प्रमाणीकरण। पूरी तरह बेईमान प्रस्तुति।
अधिकांश मेल क्लाइंट फिर इसे बदतर बना देते हैं। फ़ोन विशेष रूप से मित्रवत नाम दिखाते हैं और पता को पूरी तरह छिपाते हैं जब तक आप इसे टैप नहीं करते। आप "PayPal Service" देखते हैं; असली support-team-alerts.com एक शेवरॉन के पीछे बैठा है जिसे आप कभी नहीं दबाएंगे।
तो DMARC वास्तव में क्या जाँच रहा है?
DMARC जाँचता है कि From हेडर में डोमेन उस डोमेन के साथ पंक्तिबद्ध है जिसे भेजने वाले को उपयोग करने के लिए अधिकृत किया गया है — और कुछ नहीं। SPF पुष्टि करता है कि भेजने वाले सर्वर का IP डोमेन की अनुमोदित सूची पर है। DKIM एक क्रिप्टोग्राफ़िक हस्ताक्षर जोड़ता है जो एक डोमेन से जुड़ा होता है। DMARC का काम "संरेखण" है: यह सुनिश्चित करता है कि SPF या DKIM द्वारा मान्य किया गया डोमेन दृश्यमान From डोमेन से मेल खाता है, ताकि आप evil.com पर प्रमाणीकरण से गुज़र न सकें जबकि paypal.com होने का दावा करें।
यह सच में उपयोगी है। यह इसलिए है कि बड़े ब्रांडों की सीधी डोमेन हरकत अधिक कठिन हो गई है, और यह इसलिए है कि Google और Yahoo ने फरवरी 2024 में थोक भेजने वालों के लिए DMARC की आवश्यकता शुरू की। लेकिन M3AAWG, उद्योग समूह जो प्रेषक-प्रमाणीकरण मार्गदर्शन लिखता है, स्पष्ट है कि ये प्रोटोकॉल डोमेन को प्रमाणित करते हैं, इरादे या शब्दावली को नहीं। लिफाफा असली हो सकता है जबकि संदेश झूठ हो।
डिस्प्ले नाम को मुफ़्त पास क्यों मिलता है?
क्योंकि ईमेल को इससे पहले बनाया गया था कि कोई कल्पना कर सके कि यह पैसे स्थानांतरित करेगा, और डिस्प्ले नाम को मित्रवत होने के लिए डिज़ाइन किया गया था, सत्यापित नहीं। यह एक विनम्रता लेबल है। यह जाँचने के लिए कोई रजिस्ट्री नहीं है कि "Apple Billing" कहने के लिए कौन अधिकृत है, ट्रेडमार्क के विरुद्ध कोई जांच नहीं, कुछ भी नहीं। आप अपना नाम पोप पर सेट कर सकते हैं। मेल मानक इसे सजावट के रूप में मानते हैं, इसलिए प्रमाणीकरण कदम इसके ऊपर से चला जाता है।
यह भी है कि कैसे एक बढ़ती श्रेणी की घोटाला काम करती है: डिस्प्ले-नाम स्पूफ़िंग एक वैध दिखने वाले लुकअलाइक डोमेन के साथ मिलकर। FBI के Internet Crime Complaint Center ने 2023 में business email compromise हानि में $2.9 billion से अधिक दर्ज किया — और BEC बिल्कुल इसी ट्रिक पर भारी निर्भर करता है, एक विश्वस्त-दिखने वाले नाम के ऊपर एक पता जिस पर लक्ष्य कभी ध्यान नहीं देता। सभी प्रोटोकॉल पास हो गए। पैसा अभी भी चला गया।
अब आप From लाइन को वास्तव में कैसे पढ़ते हैं?
नाम पढ़ना बंद करें और पता पढ़ें। डेस्कटॉप पर, पूर्ण user@domain को विस्तृत करने के लिए होवर या क्लिक करें और एक सवाल पूछें: क्या यह डोमेन है जिससे असली कंपनी भेजती है, अक्षर के लिए अक्षर? PayPal paypal.com से भेजता है, paypal-secure.net या service-paypal.com से नहीं। मोबाइल पर, कुछ और भी टैप करने से पहले प्रेषक को टैप करके पता प्रकट करें।
फिर एक दूसरी जाँच: क्या यह संगठन आपको एक सामान्य अभिवादन द्वारा संबोधित करेगा और आपको एक लॉगिन लिंक की ओर धकेलेगा एक अपेक्षित मांग पर? यह वह हिस्सा है जिसे कोई हेडर सत्यापित नहीं करता। यह भी है जहाँ AI फ़िल्टरिंग अपनी सेवा करता है — xmail की scam flagging जैसे उपकरण डिस्प्ले नाम की तुलना प्रमाणीकृत डोमेन के विरुद्ध करते हैं और असमिति को सतह पर लाते हैं, मित्रवत लेबल पर भरोसा करने के बजाय जिस तरह आपकी नज़र करती है। एक DMARC पास आपको बताता है कि डोमेन वह है जो वह कहता है। इसने कभी भी आपको नाम था यह नहीं बताया।
स्रोत
- RFC 7489 (DMARC) — IETF specification; defines what DMARC authenticates
- M3AAWG Sender Authentication guidance — industry guidance on SPF/DKIM/DMARC scope
- FBI IC3 2023 Internet Crime Report — $2.9B in BEC losses
- Google bulk sender requirements — DMARC required for bulk senders from Feb 2024