Egy hamis „PayPal Support" e-mail minden biztonsági ellenőrzésen átmegy, amelyről azt hitték, hogy megbízható

Igen, egy meghamisított e-mail könnyedén átmehet a DMARC-on, miközben a From sor „PayPal Support" vagy „Chase Fraud Department" címet mutat. A három betűs protokoll, amelyre mindenki hivatkozik, mint a bizonyíték arra, hogy az e-mail valódi — SPF, DKIM, DMARC — csak a küldési domént és a kriptográfiai aláírást ellenőrzi. A megjelenítési név, az az emberi szem által olvasható rész, amelyre először az első pillantásod esik, soha nem kerül ellenőrzésre. A megbízható jelvény azt a mezőt védi, amelyre senki sem néz.

Egy meghamisított e-mail valóban átmehet a DMARC-on hamis megjelenítési névvel?

Igen, és az ok a szabványban van beépítve. Az RFC 7489, a DMARC specifikáció, kifejezetten kimondja, hogy csak az „RFC5322.From" fejlécben szereplő doménnel foglalkozik — a @ jel után következő résszel. A megjelenítési névről, a címet megelőző szabad szöveges címkéről semmit sem mond. Így egy támadó, aki rendelkezik egy közönséges doménnel, mint a support-team-alerts.com, helyesen beállítja az SPF és DKIM rekordokat, és a billing@support-team-alerts.com címről küld, tiszta DMARC-átmenetet fog kapni. Csupán a megjelenítési nevet „PayPal Service" értékre állítják. Technikailag kifogástalan hitelesítés. Teljesen tisztességtelen prezentáció.

Az esetek többségében a levelezőkliens még rosszabbá teszi. Az okostelefonok különösen a baráti nevet mutatják meg, és a címet teljesen elrejtik, amíg rá nem koppintasz. Azt látod, hogy „PayPal Service"; az igazi support-team-alerts.com egy idézőjelben rejtőzik, amelyre soha nem koppintasz.

Akkor a DMARC valójában mit ellenőriz?

A DMARC azt ellenőrzi, hogy a From fejlécben szereplő domén összhangban van-e azzal a doménnel, amelyet a küldő használatra jogosult — és semmin túl. Az SPF megerősíti, hogy a küldő szerver IP-címe a domén jóváhagyott listáján van. A DKIM egy kriptográfiai aláírást ad hozzá, amely egy doménhez kötött. A DMARC feladata az „igazítás": biztosítja, hogy az SPF vagy DKIM által validált domén megegyezik a látható From doménnel, így nem lehet hitelesítésen átmenni az evil.com által, miközben a paypal.com-nak adod ki magad.

Ez ténylegesen hasznos. Ezért vált nehezebbé a nagy márkák egyenes doménjének meghamisítása, és ezért kezdett el követelni a Google és a Yahoo a DMARC-ot a tömeges feladóktól 2024 februárjában. Az M3AAWG, az a szervezet, amely a feladó-hitelesítési útmutatót írja, azonban világos, hogy ezek a protokollok a domént hitelesítik, nem a szándékot vagy a megfogalmazást. A boríték valódi lehet, miközben az üzenet hazugság.

Miért kaphat a megjelenítési név szabad átmenetet?

Azért, mert az e-mail az előtt épült, hogy bárki is elképzelte volna, hogy pénz mozgatására fog szolgálni, és a megjelenítési név barátságosnak volt szánva, nem pedig igazoltnak. Ez egy udvarias címke. Nincs nyilvántartás arról, ki nevezi magát „Apple Billing"-nek, nincs védjegy elleni ellenőrzés, semmi. Beállíthatod a magadét a Pápa névre. A levelezési szabványok díszítésként kezelik, így a hitelesítési lépések túlugranak rajta.

Ez az a módszer is, ahogyan egy növekvő kategóriájú csalás működik: megjelenítési név hamisítása egy hiteles kinézetű hasonló doménnel párosítva. Az FBI Internet Crime Complaint Center több mint $2,9 milliárd üzleti e-mail kompromisszálódási veszteséget regisztrált 2023-ban — és a BEC nagymértékben az erre a trükkre támaszkodik, egy megbízható kinézetű névre egy olyan cím felett, amelyet a cél soha nem vizsgál meg közvetlenül. A protokollok mind átmentek. A pénz még akkor is távozott.

Hogyan olvasod most valójában a From sort?

Hagyj fel a név olvasásával és olvasd az címet. Asztali számítógépen hover vagy kattints a teljes user@domain kibontásához, és tegyél fel egy kérdést: ez az a domén, amelyet a valódi vállalat használ, betűről betűre? A PayPal a paypal.com-ból küld, nem a paypal-secure.net vagy service-paypal.com címről. Mobil eszközön koppints a feladóra, hogy a címet a másik irányra kattintás előtt felfedezd.

Ezután egy második ellenőrzés: ezek a szervezetek egy általános üdvözléssel szólítanák meg, és egy bejelentkezési hivatkozás felé tolnák az egy váratlan követelés helyett? Ez az a rész, amelyet nem igazol egyetlen fejléc sem. Ez az a pont is, ahol az AI-szűrés megkeresi az értékét — az olyan eszközök, mint az xmail csalás-jelölése, összevetik a megjelenítési nevet az igazolt doménnel, és felszínre hozzák az eltérést, ahelyett, hogy megbíznának a barátságos címkében, ahogyan az szemed. Egy DMARC-átmenet azt mondja el, hogy a domén az, akinek mondja magát. Ez soha nem mondta el neked, hogy a név valódi volt.