Un'email falsa di "PayPal Support" può superare ogni controllo di sicurezza in cui ti hanno detto di fidarti

Sì, un'email contraffatta può passare DMARC mentre la riga From legge "PayPal Support" o "Chase Fraud Department." I tre protocolli a lettere di cui tutti citano come prova che un'email è autentica — SPF, DKIM, DMARC — verificano solo il dominio mittente e la firma crittografica. Il nome visualizzato, la parte leggibile che il tuo occhio nota per primo, non viene mai controllato. Il badge di fiducia protegge il campo che nessuno guarda.

Un'email contraffatta può davvero passare DMARC con un nome visualizzato falso?

Sì, e il motivo è incorporato nello standard. RFC 7489, la specifica DMARC, è esplicita nel dire che riguarda solo il dominio nell'header "RFC5322.From" — la parte dopo il segno @. Non dice nulla riguardo al nome visualizzato, l'etichetta in testo libero che viene prima dell'indirizzo. Quindi un attaccante che controlla un dominio ordinario come support-team-alerts.com, configura i record SPF e DKIM corretti e invia da billing@support-team-alerts.com otterrà un'approvazione DMARC pulita. Basta impostare il nome visualizzato su "PayPal Service." Autenticazione tecnicamente impeccabile. Presentazione completamente disonesta.

La maggior parte dei client di posta peggiora le cose. I telefoni in particolare mostrano il nome amichevole e nascondono l'indirizzo completamente finché non lo tocchi. Vedi "PayPal Service"; l'effettivo support-team-alerts.com rimane dietro un chevron che non premerai mai.

Cosa sta effettivamente controllando DMARC, allora?

DMARC controlla che il dominio nell'header From sia allineato con un dominio che il mittente è autorizzato a usare — e nulla di più. SPF conferma che l'IP del server mittente è nell'elenco approvato del dominio. DKIM aggiunge una firma crittografica legata a un dominio. Il compito di DMARC è "allineamento": assicura che il dominio convalidato da SPF o DKIM corrisponda al dominio From visibile, così non puoi passare l'autenticazione su evil.com mentre fingi di essere paypal.com.

È genuinamente utile. È per questo che l'immediato spoofing di dominio di grandi marchi è diventato più difficile, e perché Google e Yahoo hanno iniziato a richiedere DMARC per i mittenti bulk a febbraio 2024. Ma M3AAWG, il gruppo dell'industria che scrive la guida all'autenticazione del mittente, è chiaro che questi protocolli autenticano il dominio, non l'intento o le parole. La busta può essere reale mentre il messaggio è una bugia.

Perché il nome visualizzato ha un'impunità totale?

Perché l'email è stata costruita prima che qualcuno immaginasse che avrebbe spostato denaro, e il nome visualizzato è stato progettato per essere amichevole, non verificato. È un'etichetta di cortesia. Non c'è un registro di chi può chiamarsi "Apple Billing," nessun controllo contro i marchi, niente. Puoi impostare il tuo su "Il Papa." Gli standard di posta trattano il nome visualizzato come una decorazione, così i passaggi di autenticazione lo ignorano completamente.

Questo è anche il modo in cui funziona una categoria crescente di truffe: spoofing del nome visualizzato abbinato a un dominio che sembra legittimo. L'Internet Crime Complaint Center dell'FBI ha registrato più di $2.9 miliardi in perdite di compromissione della posta aziendale nel 2023 — e BEC fa ampio affidamento esattamente su questo trucco, un nome affidabile su un indirizzo che il bersaglio non esamina mai. I protocolli hanno passato tutti i controlli. Il denaro se ne è comunque andato.

Come leggi effettivamente la riga From adesso?

Smetti di leggere il nome e leggi l'indirizzo. Su desktop, passa il mouse o fai clic per espandere il completo user@domain e fatti una sola domanda: è questo il dominio che la vera azienda usa, lettera per lettera? PayPal invia da paypal.com, non da paypal-secure.net o service-paypal.com. Su mobile, tocca il mittente per rivelare l'indirizzo prima di toccare qualsiasi altra cosa.

Poi un secondo controllo: questa organizzazione ti rivolgerebbe un saluto generico e ti spingerebbe verso un link di accesso piuttosto che una richiesta inaspettata? Questa è la parte che nessun header verifica. È anche qui che i filtri AI fanno valere la loro utilità — strumenti come il rilevamento truffe di xmail confrontano il nome visualizzato con il dominio autenticato e mettono in evidenza la discrepanza, invece di fidarsi dell'etichetta amichevole come fa il tuo occhio. Un passaggio DMARC ti dice che il dominio è chi dice di essere. Non ti ha mai detto che il nome era.