Een nep-'PayPal Support'-email kan elke veiligheidcheck passeren waarvan je dacht dat je hem kon vertrouwen

Ja, een vervalsde email kan door DMARC glippen terwijl in de afzenderregel "PayPal Support" of "Chase Fraud Department" staat. De drie protocollen die iedereen aanhaalt als bewijs dat een email echt is — SPF, DKIM, DMARC — verifiëren alleen het verzenddomein en de cryptografische handtekening. De weergavenaam, het menselijk leesbare gedeelte waar je oog eerst op valt, wordt nooit gecontroleerd. Het vertrouwensbadge beschermt het veld waar niemand naar kijkt.

Kan een vervalsde email echt door DMARC heen met een nep-weergavenaam?

Ja, en de reden zit ingebakken in de standaard. RFC 7489, de DMARC-specificatie, is duidelijk dat het alleen gaat om het domein in de "RFC5322.From"-header — het gedeelte na het @-teken. Over de weergavenaam, het vrij-tekstlabel dat voor het adres staat, zegt het niets. Dus een aanvaller die controle heeft over een gewoon domein als support-team-alerts.com, juiste SPF- en DKIM-records instelt en verzendt vanaf billing@support-team-alerts.com, krijgt een schone DMARC-pass. Ze stellen de weergavenaam gewoon in op "PayPal Service." Technisch gezien foutloos verificatie. Volkomen oneerlijke presentatie.

De meeste mailclients maken het erger. Telefoons in het bijzonder tonen de vriendschappelijke naam en verbergen het adres helemaal totdat je erop tikt. Je ziet "PayPal Service"; het echte support-team-alerts.com zit verborgen achter een pijltje dat je nooit zult indrukken.

Wat checkt DMARC dan eigenlijk?

DMARC checkt of het domein in de From-header overeenkomt met een domein dat de afzender mag gebruiken — en verder niets. SPF bevestigt dat de IP van de verzendserver op de goedkeuringlijst van het domein staat. DKIM voegt een cryptografische handtekening toe die aan een domein is gekoppeld. De taak van DMARC is "alignment": het zorgt ervoor dat het domein dat SPF of DKIM heeft geverifieerd overeenkomt met het zichtbare From-domein, zodat je niet via evil.com kunt verifiëren terwijl je beweert paypal.com te zijn.

Dat is echt nuttig. Daarom is rechtstreekse domeinimitatie van grote merken moeilijker geworden, en waarom Google en Yahoo in februari 2024 DMARC gingen verlangen voor bulkmailers. Maar M3AAWG, de branchegroep die richtlijnen voor afzenderverificatie schrijft, is duidelijk dat deze protocollen het domein verifiëren, niet de bedoeling of de formulering. De envelop kan echt zijn terwijl het bericht een leugen is.

Waarom krijgt de weergavenaam een vrijstelling?

Omdat email is gebouwd voordat iemand zich voorstelde dat het geld zou gaan verplaatsen, en de weergavenaam is ontworpen om vriendelijk te zijn, niet geverifieerd. Het is een beleefdheidslabel. Er is geen register van wie zichzelf "Apple Billing" mag noemen, geen controle tegen handelsmerken, niets. Je kunt de jouwe instellen op de Paus. E-mailstandaarden behandelen het als decoratie, dus verificatiestappen stappen er overheen.

Dit is ook hoe een groeiende categorie van oplichting werkt: weergavenaam-spoofing gecombineerd met een echt ogende imitatiedomain. Het Internet Crime Complaint Center van de FBI registreerde meer dan $2,9 miljard aan verliezen door bedrijfsemailcompromis in 2023 — en BEC vertrouwt zwaar op precies deze truc: een vertrouwenswekkenende naam boven een adres dat het doelwit nooit onderzoekt. De protocollen waren allemaal akkoord. Het geld vertrok toch.

Hoe lees je de From-regel nu eigenlijk goed?

Stop met het lezen van de naam en lees het adres. Op desktop, beweeg de muis over of klik om het volledige user@domain uit te klappen en stel één vraag: is dit het domein dat het echte bedrijf gebruikt, letter voor letter? PayPal verzendt van paypal.com, niet van paypal-secure.net of service-paypal.com. Op mobiel, tik op de afzender om het adres te zien voordat je iets anders aantikt.

Controleer dan een tweede keer: zou deze organisatie je aanspreken met een generieke groet en je naar een inloglink duwen over een vraag die je niet verwachtte? Dat is het gedeelte dat geen header verifieert. Dit is ook waar AI-filtering zijn waarde bewijst — tools als xmail's scamflagging vergelijken de weergavenaam met het geverifieerde domein en brengen de mismatch aan het licht, in plaats van het vriendschappelijke label te vertrouwen zoals je oog dat doet. Een DMARC-pass vertelt je dat het domein is wie het zegt. Het zei je nooit dat de naam echt was.