Sfałszowany e-mail „Wsparcia PayPal" może przejść każdą kontrolę bezpieczeństwa, której ufałeś

Tak, sfałszowany e-mail może przejść przez DMARC, gdy linia From brzmi „PayPal Support" lub „Chase Fraud Department". Trzy-literowe protokoły, które wszyscy cytują jako dowód, że e-mail jest rzeczywisty — SPF, DKIM, DMARC — weryfikują jedynie domenę wysyłającą i podpis kryptograficzny. Nazwa wyświetlana, ludzka część, na którą oko pada w pierwszej kolejności, nigdy nie jest sprawdzana. Godło zaufania chroni pole, na które nikt nie patrzy.

Czy sfałszowany e-mail naprawdę może przejść DMARC z fałszywą nazwą wyświetlaną?

Może, a przyczyna jest wpisana w sam standard. RFC 7489, specyfikacja DMARC, wyraźnie stwierdza, że dotyczy ona tylko domeny w nagłówku „RFC5322.From" — części po znaku @. Nie mówi nic o nazwie wyświetlanej, wolno-tekstowej etykiecie, która pojawia się przed adresem. Więc atakujący, który kontroluje zwykłą domenę taką jak support-team-alerts.com, ustawi prawidłowe rekordy SPF i DKIM oraz wyśle wiadomość z billing@support-team-alerts.com, otrzyma czyste potwierdzenie DMARC. Po prostu ustawia nazwę wyświetlaną na „PayPal Service". Technicznie bezbłędne uwierzytelnianie. Całkowicie nieuczciwa prezentacja.

Większość klientów poczty potem pogarsza sytuację. Telefony w szczególności pokazują przyjazną nazwę i ukrywają adres całkowicie, dopóki go nie dotkniesz. Widzisz „PayPal Service"; rzeczywisty support-team-alerts.com siedzi za szewronem, na który nigdy nie naciśniesz.

Co właściwie sprawdza DMARC?

DMARC sprawdza, czy domena w nagłówku From pokrywa się z domeną, którą nadawca jest uprawniony do użycia — i nic poza tym. SPF potwierdza, że IP serwera wysyłającego znajduje się na zatwierdzonej liście domeny. DKIM dodaje podpis kryptograficzny powiązany z domeną. Zadaniem DMARC jest „wyrównanie": upewnia się, że domena zweryfikowana przez SPF lub DKIM pokrywa się z widoczną domeną From, dzięki czemu nie możesz przejść uwierzytelniania na evil.com, twierdząc, że jesteś paypal.com.

To naprawdę jest użyteczne. Dlatego właśnie personifikacja brandów przez duże firmy stała się trudniejsza, i dlaczego Google i Yahoo zaczęły wymagać DMARC dla nadawców masowych w lutym 2024 r. Ale M3AAWG, grupa branżowa, która pisze wytyczne dotyczące uwierzytelniania nadawcy, jasno stwierdza, że te protokoły uwierzytelniają domenę, a nie zamiar lub sformułowanie. Koperta może być rzeczywista, gdy wiadomość jest kłamstwem.

Dlaczego nazwa wyświetlana przechodzi bez kary?

Ponieważ e-mail został zbudowany zanim ktokolwiek wyobraził sobie, że będzie przenosić pieniądze, a nazwa wyświetlana została zaprojektowana, aby być przyjazna, nie zweryfikowana. To etykieta grzeczności. Nie ma rejestru, kto może się nazywać „Apple Billing", nie ma kontroli przeciwko znakom towarowym, nic. Możesz ustawić swoją na Papieża. Standardy poczty traktują to jako dekorację, więc kroki uwierzytelniania po prostu ją pomijają.

To też sposób, w jaki działa rosnąca kategoria oszustw: spoofing nazwy wyświetlanej połączony z wiarygodnie wyglądającą domeną imitującą oryginalną. Internetowe Centrum Raportowania Zbrodni FBI zalogowało ponad $2,9 miliarda strat z powodu kompromisu e-maila biznesowego w 2023 roku — a BEC opiera się ciężko na dokładnie tej sztuczce, zaufanej wyglądającej nazwie nad adresem, który cel nigdy nie sprawdza. Protokoły wszystkie przeszły. Pieniądze wciąż wyjechały.

Jak faktycznie czytać linię From teraz?

Przestań czytać nazwę i czytaj adres. Na pulpicie najedź myszką lub kliknij, aby rozwinąć pełny user@domain i zadaj jedno pytanie: czy to domena, którą naprawdę używa ta firma, litera po literce? PayPal wysyła z paypal.com, a nie z paypal-secure.net lub service-paypal.com. Na urządzeniu mobilnym dotknij nadawcy, aby ujawnić adres przed dotknięciem czegokolwiek innego.

Następnie druga kontrola: czy ta organizacja zwróciłaby się do ciebie ogólnym pozdowieniem i skierowałaby cię w stronę linku logowania zamiast żądania, którego się nie spodziewasz? To część, którą żaden nagłówek nie weryfikuje. To też miejsce, gdzie filtrowanie AI pokazuje swoją wartość — narzędzia takie jak wykrywanie oszustw xmail porównują nazwę wyświetlaną z uwierzytelnioną domeną i ujawniają niezgodność, zamiast ufać przyjaznej etykiecie, w którą wierzy twoje oko. Potwierdzenie DMARC mówi ci, że domena jest tym, czym się podaje. Nigdy nie mówiło ci, że nazwa była.