Email Palsu 'Dukungan PayPal' Bisa Lolos Setiap Pemeriksaan Keamanan yang Anda Diberitahu untuk Percaya

Ya, email yang dipalsukan dapat melewati DMARC sementara baris From menampilkan "PayPal Support" atau "Chase Fraud Department." Ketiga protokol tiga huruf yang semua orang kutip sebagai bukti bahwa email itu asli — SPF, DKIM, DMARC — hanya memverifikasi domain pengirim dan tanda tangan kriptografi. Nama tampilan, bagian yang dapat dibaca manusia yang pertama kali mata Anda tangkap, tidak pernah diperiksa. Lencana kepercayaan melindungi bidang yang tidak ada orang yang lihat.

Bisakah email yang dipalsukan benar-benar lolos DMARC dengan nama tampilan palsu?

Bisa, dan alasannya tertanam dalam standar. RFC 7489, spesifikasi DMARC, jelas menyatakan bahwa itu hanya menyangkut domain dalam header "RFC5322.From" — bagian setelah tanda @. Itu tidak mengatakan apa pun tentang nama tampilan, label teks bebas yang muncul sebelum alamat. Jadi penyerang yang mengendalikan domain biasa seperti support-team-alerts.com, menyiapkan catatan SPF dan DKIM yang benar, dan mengirim dari billing@support-team-alerts.com akan mendapatkan lulus DMARC yang bersih. Mereka hanya menyetel nama tampilan ke "PayPal Service." Autentikasi yang sempurna secara teknis. Presentasi yang sepenuhnya tidak jujur.

Sebagian besar klien email kemudian membuatnya lebih buruk. Ponsel khususnya menampilkan nama ramah dan menyembunyikan alamat sepenuhnya sampai Anda mengetuknya. Anda melihat "PayPal Service"; support-team-alerts.com yang sebenarnya berada di balik chevron yang tidak akan pernah Anda tekan.

Lalu apa yang sebenarnya diperiksa DMARC?

DMARC memeriksa bahwa domain dalam header From sejalan dengan domain yang pengirim diizinkan untuk gunakan — dan tidak lebih dari itu. SPF mengkonfirmasi bahwa IP server pengirim ada dalam daftar yang disetujui oleh domain. DKIM menambahkan tanda tangan kriptografi yang terikat pada domain. Pekerjaan DMARC adalah "alignment": memastikan domain yang divalidasi SPF atau DKIM cocok dengan domain From yang terlihat, sehingga Anda tidak dapat lolos autentikasi di evil.com sambil mengklaim menjadi paypal.com.

Itu benar-benar berguna. Itulah mengapa pemalsuan domain langsung dari merek-merek besar telah menjadi lebih sulit, dan mengapa Google dan Yahoo mulai memerlukan DMARC untuk pengirim massal di Februari 2024. Namun M3AAWG, kelompok industri yang menulis panduan autentikasi pengirim, jelas bahwa protokol ini mengautentikasi domain, bukan niat atau kata-katanya. Amplop bisa asli sementara pesan adalah kebohongan.

Mengapa nama tampilan mendapat lulus gratis?

Karena email dibangun sebelum siapa pun membayangkan itu akan memindahkan uang, dan nama tampilan dirancang untuk bersahabat, bukan diverifikasi. Ini adalah label keramahan. Tidak ada daftar siapa yang boleh menyebut diri mereka "Apple Billing," tidak ada pemeriksaan terhadap merek dagang, tidak ada apa-apa. Anda dapat menyetel milik Anda ke Paus. Standar email memperlakukannya sebagai hiasan, jadi langkah autentikasi langsung melompatinya.

Ini juga bagaimana kategori penipuan yang berkembang berfungsi: spoofing nama tampilan dipasangkan dengan domain tiruan yang terlihat sah. Internet Crime Complaint Center FBI mencatat lebih dari $2.9 miliar dalam kerugian kompromi email bisnis di 2023 — dan BEC sangat bergantung pada trik yang sama persis, nama yang terlihat terpercaya di atas alamat yang target tidak pernah teliti. Protokol semuanya lolos. Uang masih pergi.

Bagaimana Anda benar-benar membaca baris From sekarang?

Hentikan membaca nama dan baca alamatnya. Di desktop, arahkan atau klik untuk memperluas user@domain lengkap dan ajukan satu pertanyaan: apakah ini domain yang benar-benar digunakan perusahaan, huruf demi huruf? PayPal mengirim dari paypal.com, bukan paypal-secure.net atau service-paypal.com. Di ponsel, ketuk pengirim untuk mengungkap alamat sebelum Anda mengetuk apa pun lagi.

Kemudian pemeriksaan kedua: apakah organisasi ini akan mengatasi Anda dengan sapaan generik dan mendorong Anda menuju tautan login daripada menuntut yang Anda tidak harapkan? Itu bagian yang tidak ada header yang memverifikasi. Ini juga tempat filter AI membuahkan hasil — alat seperti penanda penipuan xmail membandingkan nama tampilan dengan domain yang diautentikasi dan menampilkan ketidakcocokan, daripada mempercayai label ramah cara mata Anda lakukannya. Lulus DMARC memberi tahu Anda domain adalah siapa yang dikatakannya. Itu tidak pernah memberi tahu Anda namanya.