Gembok yang Semua Orang Pamerkan Tergantung di Pintu yang Terbuka

Kira-kira sembilan dari sepuluh domain yang mempublikasikan record DMARC menyetelnya ke p=none — mode yang memberi tahu dunia persis siapa yang menyamar sebagai Anda dan kemudian membiarkan mereka masuk. Analisis Red Sift selama satu dekade menempatkan penegakan DMARC nyata dalam angka tunggal untuk bertahun-tahun, dan bahkan angka vendor yang optimis masih mendarat dengan mayoritas besar record di none.

Inilah leluconnya yang tersembunyi dalam kata itu. DMARC — dieja dalam RFC 7489 — adalah hal yang menentukan apa yang harus dilakukan oleh server penerima ketika pesan yang mengklaim berasal dari domain Anda gagal dalam pemeriksaan yang mendasarinya. Pemeriksaan tersebut adalah SPF (apakah server ini diizinkan mengirim untuk Anda?) dan DKIM (apakah pesan ini ditandatangani secara kriptografi oleh Anda?). DMARC berada di atas dan mengeluarkan vonis. p=none adalah vonis yang bukan vonis. Ini mengatakan: perhatikan penipuan, catat penipuan, kirimkan saya laporan tentang penipuan — dan kirimkan saja.

Detektor asap dengan baterainya ditarik keluar masih tergantung di langit-langit. Terlihat seperti perlindungan. Difoto seperti perlindungan. Hanya saja tidak berbunyi saat dapur sedang terbakar.

Dua pengaturan yang benar-benar menggigit adalah p=quarantine, yang mendorong email yang gagal ke spam, dan p=reject, yang memberitahu penerima untuk menolaknya sebelum masuk. Itu seluruh permainannya. Penipu yang memalsukan billing@yourbank.example menghadapi dinding hanya jika bank itu mempublikasikan reject. Jika bank mempublikasikan none — dan sebagian besar melakukannya — pemalsuan itu melewati inbox terlihat persis seperti aslinya, lengkap dengan logo asli yang ditarik langsung dari situs web asli.

Mengapa semua orang berhenti di none? Karena none adalah langkah pertama yang aman, dan langkah pertama yang aman memiliki cara menjadi alamat permanen. Anda seharusnya memulai di sana, membaca laporannya, menemukan setiap layanan sah yang mengirim atas nama Anda — vendor penggajian, platform pemasaran, alat pemesanan yang tidak terdokumentasi — dapatkan semuanya menandatangani dengan benar, dan kemudian ketat ke reject. Langkah terakhir itu adalah yang menakutkan. Beralih ke reject dengan pengirim yang tidak terautentikasi yang masih beredar dan Anda membuang invoice Anda sendiri ke lubang hitam. Jadi tim mempublikasikan record, memberi tahu auditor itu ditangani, dan tidak pernah kembali untuk menyelesaikan. Email laporan menumpuk tidak terbaca. Baterainya tetap tertarik.

Korbannya adalah Anda, orang yang membaca pesan itu. Ketika merek yang Anda percayai membiarkan DMARC di none, "itu berasal dari domain mereka yang nyata" berhenti berarti apa pun, karena pemalsuan penjahat lulus tes pandangan yang sama. Ini persis celah yang kami amati di ujung penerima di xmail: pesan dapat gagal autentikasi sepenuhnya dan masih tiba berpakaian sebagai perusahaan utilitas Anda, karena perusahaan utilitas tidak pernah memberitahu internet untuk menolak yang palsu.

Jadi ini adalah tes yang dapat Anda jalankan dalam sekitar lima belas detik. Ambil merek apa pun yang menakut-nakuti Anda dengan email "aktivitas mencurigakan" — buka pencarian DMARC publik dan tempel domain mereka. Jika kebijakan membaca p=none, perusahaan itu meminta penerima untuk memperhatikan peniruan dan tidak berbuat apa-apa tentang itu. Jutaan domain secara senyap membuat permintaan itu setiap hari.

Perbaikannya bukan lebih banyak teknologi. Ini tentang keberanian untuk mengubah satu kata dari none menjadi reject. Alarm sudah melihat asapnya. Seseorang hanya perlu memasukkan baterainya kembali.