Поддельное письмо от «PayPal Support» может пройти все проверки безопасности, которым вас учили доверять

Да, подделанное письмо может легко пройти DMARC, пока в строке From указано «PayPal Support» или «Chase Fraud Department». Три буквенных протокола, которые все называют доказательством подлинности письма — SPF, DKIM, DMARC — проверяют только домен отправителя и криптографическую подпись. Отображаемое имя, та часть, которая привлекает ваш взгляд в первую очередь, никогда не проверяется. Знак доверия защищает поле, на которое никто не смотрит.

Может ли подделанное письмо действительно пройти DMARC с поддельным отображаемым именем?

Может, и причина встроена в стандарт. RFC 7489, спецификация DMARC, явно указывает, что она касается только домена в заголовке «RFC5322.From» — части после символа @. Об отображаемом имени, свободном текстовом ярлыке, который стоит перед адресом, там ничего не говорится. Таким образом, злоумышленник, который контролирует обычный домен вроде support-team-alerts.com, правильно настраивает SPF и DKIM записи и отправляет письмо с адреса billing@support-team-alerts.com, получит безупречный DMARC пасс. Он просто устанавливает отображаемое имя на «PayPal Service». Технически безукоризненная аутентификация. Полностью бесчестное представление.

Затем большинство почтовых клиентов усугубляют ситуацию. Особенно на телефонах отображается дружественное имя и скрывается адрес полностью до тех пор, пока вы не нажмёте на него. Вы видите «PayPal Service»; реальный адрес support-team-alerts.com скрывается за значком, на который вы никогда не нажмёте.

Что же на самом деле проверяет DMARC?

DMARC проверяет, что домен в заголовке From соответствует домену, который авторизован для использования отправителем — и больше ничего. SPF подтверждает, что IP адрес отправляющего сервера находится в утверждённом списке домена. DKIM добавляет криптографическую подпись, привязанную к домену. Задача DMARC — «выравнивание»: она гарантирует, что домен, проверенный SPF или DKIM, совпадает с видимым доменом From, чтобы вы не могли пройти аутентификацию на evil.com, выдавая себя за paypal.com.

Это действительно полезно. Именно поэтому откровенное выдавание себя за крупные бренды стало сложнее, и почему Google и Yahoo начали требовать DMARC для массовых рассылок в феврале 2024 года. Но M3AAWG, промышленная группа, которая разрабатывает руководства по аутентификации отправителей, чётко указывает, что эти протоколы аутентифицируют домен, а не намерение или формулировку. Конверт может быть подлинным, а сообщение — ложным.

Почему отображаемое имя получает свободный проход?

Потому что электронная почта была создана до того, как кто-либо представлял, что она будет перемещать деньги, и отображаемое имя было разработано, чтобы быть дружественным, а не проверяемым. Это вежливый ярлык. Нет реестра того, кто может называться «Apple Billing», нет проверки против торговой марки, ничего. Вы можете установить свой на имя Папы. Стандарты почты рассматривают его как украшение, поэтому этапы аутентификации просто через него проходят.

Это также то, как работает растущая категория мошенничества: подделка отображаемого имени в сочетании с похожим на подлинный доменом. Интернет-центр жалоб на преступления FBI зафиксировал убытки от компрометации бизнес-электронной почты в размере более $2.9 млрд в 2023 году — и BEC в значительной степени полагается именно на этот трюк, надёжное на вид имя над адресом, на который цель никогда не посмотрит внимательно. Все протоколы прошли проверку. Деньги все ещё уходили.

Как теперь правильно читать строку From?

Перестаньте читать имя и читайте адрес. На компьютере наведите или щёлкните, чтобы развернуть полный user@domain, и задайте один вопрос: это домен, который использует настоящая компания, буква в букву? PayPal отправляет с paypal.com, а не с paypal-secure.net или service-paypal.com. На мобильном устройстве нажмите на отправителя, чтобы раскрыть адрес, прежде чем нажимать что-либо еще.

Затем вторая проверка: обращалась бы к вам эта организация с общим приветствием и подталкивала бы вас к ссылке входа вместо требования, которого вы не ожидали? Вот то, что не проверяется никаким заголовком. Это также то место, где фильтрация на основе AI оправдывает своё назначение — инструменты вроде флага скама xmail сравнивают отображаемое имя с аутентифицированным доменом и выявляют несоответствие, вместо того чтобы доверять дружественному ярлыку, как это делает ваш взгляд. DMARC пасс говорит вам, что домен — это то, за что он выдаёт себя. Он никогда не говорил вам, что имя было.