Un email fals de tip „PayPal Support" poate trece prin orice verificare de securitate în care ți s-a spus să ai încredere

Da, un email falsificat poate trece cu ușurință prin DMARC în timp ce linia From arată „PayPal Support" sau „Chase Fraud Department". Cele trei protocoale pe care toți le citează ca dovadă că un email este real — SPF, DKIM, DMARC — doar verifică domeniul de trimitere și semnătura criptografică. Numele de afișare, partea lizibilă pe care ochiul tău se oprește în primul rând, nu este niciodată verificat. Insigna de încredere protejează câmpul pe care nimeni nu se uită.

Poate cu adevărat un email falsificat să treacă prin DMARC cu un nume de afișare fals?

Poate, și motivul este încrustat în standard. RFC 7489, specificația DMARC, este explicită că se ocupă doar de domeniul din antetul „RFC5322.From" — partea după semnul @. Nu spune nimic despre numele de afișare, eticheta de text liber care vine înainte de adresă. Deci un atacator care controlează un domeniu obișnuit ca support-team-alerts.com, configurează corect înregistrările SPF și DKIM, și trimite din billing@support-team-alerts.com va obține o validare DMARC impecabilă. Trebuie doar să seteze numele de afișare la „PayPal Service". Autentificare din punct de vedere tehnic impecabilă. Prezentare complet malhonestă.

Majoritatea clienților de mail înrăutățesc lucrurile. Telefoanele în special arată numele prietenos și ascund adresa cu totul până când o atingi. Vezi „PayPal Service"; domeniul actual support-team-alerts.com se află în spatele unei săgeți pe care nu o vei apăsa niciodată.

Ce verifică de fapt DMARC?

DMARC verifică că domeniul din antetul From se aliniază cu un domeniu pe care expeditorul este autorizat să îl folosească — și nimic dincolo de aceasta. SPF confirmă că IP-ul serverului de trimitere este pe lista aprobată a domeniului. DKIM adaugă o semnătură criptografică legată de un domeniu. Sarcina DMARC este „alinierea": se asigură că domeniul validat de SPF sau DKIM se potrivește cu domeniul From vizibil, pentru ca să nu poți trece autentificarea pe evil.com pretinzând că ești paypal.com.

Asta este cu adevărat util. De aceea impersonificarea directă a domeniului pe mărci mari a devenit mai dificilă, și de aceea Google și Yahoo au început să ceară DMARC pentru expeditori în masă în februarie 2024. Dar M3AAWG, grupul din industrie care redactează ghidurile de autentificare a expeditorului, este clar că aceste protocoale autentifică domeniul, nu intenția sau formularea. Plicul poate fi real în timp ce mesajul este o minciună.

De ce numele de afișare trece nepedepsit?

Pentru că email-ul a fost construit înainte ca cineva să-și imagineze că ar putea muta bani, iar numele de afișare a fost proiectat să fie prietenos, nu verificat. Este o etichetă de politețe. Nu există un registru al celor care au dreptul să se numească „Apple Billing", nicio verificare împotriva mărcilor comerciale, nimic. Poti să-ți setezi al tău la Papa. Standardele de mail o tratează ca decorație, deci pașii de autentificare o sar cu ușurință.

Asta este și modul în care funcționează o categorie din ce în ce mai mare de înșelăciune: falsificarea numelui de afișare asociată cu un domeniu care arată demn de încredere. Centrul de Plângeri pentru Crimă pe Internet al FBI a înregistrat peste $2.9 miliarde în pierderi din compromisuri de email de afaceri în 2023 — și BEC se bazează greu pe exact acest truc, un nume de încredere peste o adresă pe care ținta nu o va examina vreodată. Toate protocoalele au trecut. Banii au plecat oricum.

Cum citești de fapt linia From acum?

Încetează să citești numele și citește adresa. Pe desktop, treci cu mouseul sau fă clic pentru a extinde user@domain-ul complet și pune o singură întrebare: acesta este domeniul pe care compania reală îl folosește, literă cu literă? PayPal trimite din paypal.com, nu din paypal-secure.net sau service-paypal.com. Pe mobil, atinge expeditorul pentru a dezvălui adresa înainte de a atinge orice altceva.

Apoi o a doua verificare: această organizație ți-ar adresa cu o salutare generică și ți-ar impinge o legătură de conectare în loc de o cerere pe care nu o așteptai? Asta este partea pe care niciun antet nu o verifică. Asta este și locul în care filtrarea AI și-arată valoarea — instrumente ca detectarea de înșelăciuni a xmail compară numele de afișare cu domeniul autentificat și evidențiază necongruența, în loc să ai încredere în eticheta prietenă în modul în care o face ochiul tău. O validare DMARC ți spune că domeniul este cine zice că este. Nu ți-a spus niciodată că numele era.

@@END@@