가짜 'PayPal 지원팀' 이메일이 신뢰할 수 있다고 배운 모든 보안 검사를 통과할 수 있다

맞다. 스푸핑된 이메일은 발신인 줄이 "PayPal Support"나 "Chase Fraud Department"로 표시되면서 DMARC를 통과할 수 있다. 이메일이 진짜라는 증거로 모두가 인용하는 세 글자 프로토콜 — SPF, DKIM, DMARC — 은 발신 도메인과 암호화 서명만 검증한다. 발신인 필드인 사람이 눈을 먼저 떨어뜨리는 부분은 절대 확인되지 않는다. 신뢰 배지는 아무도 보지 않는 필드를 보호한다.

스푸핑된 이메일이 정말 가짜 표시 이름으로 DMARC를 통과할 수 있나?

가능하고, 그 이유는 표준에 내재되어 있다. DMARC 명세인 RFC 7489는 "RFC5322.From" 헤더의 도메인 — @ 기호 뒤의 부분 — 만 관련된다고 명확히 규정한다. 표시 이름인 주소 앞의 자유 텍스트 레이블에 대해서는 아무것도 말하지 않는다. 따라서 support-team-alerts.com 같은 일반 도메인을 제어하고, 올바른 SPF와 DKIM 레코드를 설정하고, billing@support-team-alerts.com에서 발송하는 공격자는 깨끗한 DMARC 통과를 얻을 것이다. 표시 이름을 "PayPal Service"로 설정하기만 하면 된다. 기술적으로는 완벽한 인증. 완전히 부정직한 표현.

대부분의 메일 클라이언트는 그 다음 상황을 악화시킨다. 특히 휴대폰은 친화적인 이름을 표시하고 주소는 탭할 때까지 완전히 숨긴다. "PayPal Service"를 보게 되고, 실제 support-team-alerts.com은 절대 누르지 않을 셰브론 뒤에 숨어 있다.

그러면 DMARC는 정확히 무엇을 확인하는가?

DMARC는 발신인 헤더의 도메인이 발신자가 사용할 권한이 있는 도메인과 일치하는지 확인한다 — 그 이상은 아무것도 아니다. SPF는 발송 서버의 IP가 도메인의 승인 목록에 있는지 확인한다. DKIM은 도메인에 연결된 암호화 서명을 추가한다. DMARC의 역할은 "정렬"이다: SPF나 DKIM이 검증한 도메인이 눈에 보이는 발신인 도메인과 일치하도록 해서 evil.com에서 인증을 통과하면서 paypal.com인 것처럼 할 수 없게 한다.

이는 진정으로 유용하다. 이것이 큰 브랜드의 직접적인 도메인 사칭이 더 어려워진 이유이며, Google과 Yahoo가 2024년 2월에 대량 발신자를 위해 DMARC를 요구하기 시작한 이유다. 발신자 인증 지침을 작성하는 산업 그룹인 M3AAWG는 이 프로토콜들이 도메인을 인증하지, 의도나 표현은 인증하지 않는다고 명확히 한다. 봉투는 진짜일 수 있지만 메시지는 거짓일 수 있다.

표시 이름은 왜 자유 통행권을 얻는가?

이메일이 돈을 이동할 것이라고 누구도 상상하기 전에 구축되었고, 표시 이름은 검증되지 않고 친화적으로 설계되었기 때문이다. 그것은 예의 레이블이다. "Apple Billing"이라고 자신을 부를 수 있는 사람의 레지스트리도 없고, 상표에 대한 검사도 없다. 표시 이름을 교황으로 설정할 수 있다. 메일 표준은 그것을 장식으로 취급하므로 인증 단계가 그것을 건너간다.

이것은 또한 증가하는 사기 범주가 작동하는 방식이다: 표시 이름 스푸핑과 진짜처럼 보이는 닮은꼴 도메인이 결합된 것. FBI의 인터넷 범죄 불만 센터는 2023년에 $2.9 billion 이상의 비즈니스 이메일 절충 손실을 기록했다 — BEC는 정확히 이 기법에 크게 의존하고 있다. 신뢰할 수 있어 보이는 이름이 대상이 절대 조사하지 않는 주소 위에 있다. 프로토콜은 모두 통과했다. 돈은 여전히 떠났다.

이제 발신인 줄을 어떻게 실제로 읽는가?

이름 읽기를 멈추고 주소를 읽어라. 데스크톱에서 전체 user@domain을 가리키거나 클릭해서 펼치고 한 가지 질문을 하자: 이것이 실제 회사가 사용하는 도메인인가, 글자마다? PayPal은 paypal.com에서 발송하고, paypal-secure.net이나 service-paypal.com에서는 발송하지 않는다. 모바일에서는 발신자를 탭해서 다른 것을 누르기 전에 주소를 먼저 표시하게 하자.

그 다음 두 번째 확인: 이 조직이 일반적인 인사말로 당신을 맞이하고 예상하지 못한 요구 대신 로그인 링크로 당신을 밀어붙이겠는가? 그것이 어떤 헤더도 검증하지 않는 부분이다. 이것은 또한 AI 필터링이 효과를 발휘하는 곳이기도 하다 — xmail의 사기 플래깅과 같은 도구는 표시 이름을 검증된 도메인과 비교하고, 눈이 친화적인 레이블을 신뢰하는 방식 대신에 불일치를 표시한다. DMARC 통과는 도메인이 그것이 말하는 대로임을 알려준다. 절대 이름이 진짜임을 알려주지 않았다.