Ett falskt mejl från "PayPal Support" kan passera alla säkerhetskontroller du lärt dig lita på

Ja, ett förfalskat mejl kan ta sig igenom DMARC medan avsändarraden visar "PayPal Support" eller "Chase Fraud Department." De tre bokstavsprotokoll som alla citerar som bevis på att ett mejl är verkligt — SPF, DKIM, DMARC — verifierar endast avsändardomänen och den kryptografiska signaturen. Visningsnamnet, den människoläsbara delen ditt öga ser först, kontrolleras aldrig. Förtroendebadgen skyddar det fält ingen tittar på.

Kan ett förfalskat mejl verkligen passera DMARC med ett falskt visningsnamn?

Det kan det, och anledningen är inbakad i standarden. RFC 7489, DMARC-specifikationen, är explicit på att den endast gäller domänen i "RFC5322.From"-headern — delen efter @-tecknet. Den säger ingenting om visningsnamnet, fritext-etiketten som kommer före adressen. Så en angripare som kontrollerar en vanlig domän som support-team-alerts.com, konfigurerar korrekta SPF- och DKIM-poster och skickar från billing@support-team-alerts.com kommer att få ett rent DMARC-godkännande. De behöver bara sätta visningsnamnet till "PayPal Service." Tekniskt sett perfekt autentisering. Helt oärlig presentation.

De flesta e-postklienter gör det sedan värre. Telefoner visar särskilt det vänliga namnet och döljer adressen helt tills du trycker på den. Du ser "PayPal Service"; den faktiska support-team-alerts.com ligger bakom en chevron du aldrig kommer att trycka på.

Vad kontrollerar DMARC då egentligen?

DMARC kontrollerar att domänen i From-headern stämmer överens med en domän som avsändaren är auktoriserad att använda — och ingenting därutöver. SPF bekräftar att avsändarserverns IP-adress står på domänens godkända lista. DKIM lägger till en kryptografisk signatur knuten till en domän. DMARC:s uppgift är "alignment": det säkerställer att domänen som SPF eller DKIM validerade matchar den synliga From-domänen, så du kan inte passera autentisering på evil.com samtidigt som du påstår att vara paypal.com.

Det är verkligen användbart. Det är därför direkt domänpersonifiering av stora varumärken har blivit svårare, och varför Google och Yahoo började kräva DMARC för massutskick i februari 2024. Men M3AAWG, branschgruppen som skriver vägledning för avsändarautentisering, är tydlig på att dessa protokoll autentiserar domänen, inte avsikten eller ordalydelsen. Kuvertet kan vara verkligt medan meddelandet är en lögn.

Varför får visningsnamnet fri lejd?

Eftersom e-post byggdes innan någon föreställde sig att det skulle flytta pengar, och visningsnamnet utformades för att vara vänligt, inte verifierat. Det är en höflig etikett. Det finns ingen register över vem som får kalla sig "Apple Billing," ingen kontroll mot varumärke, ingenting. Du kan ställa in ditt till Påven. E-poststandarder behandlar det som dekoration, så autentiseringssteg går rakt förbi det.

Det är också hur en växande kategori av bedrägerier fungerar: förfalskning av visningsnamn kombinerat med en legitim utseende imiteringsdomän. FBI:s Internet Crime Complaint Center registrerade över $2,9 miljarder i affärsmejlkompromissförluster under 2023 — och BEC förlitar sig tungt på exakt detta trick, ett pålitligt utseende namn över en adress målet aldrig granskar. Protokollen passerade alla. Pengarna lämnade ändå.

Hur läser du egentligen From-raden nu?

Sluta läsa namnet och läs adressen. På skrivbordet, håll över eller klicka för att utöka den fullständiga user@domain och ställ en fråga: är det här domänen det riktiga företaget använder, bokstav för bokstav? PayPal skickar från paypal.com, inte paypal-secure.net eller service-paypal.com. På mobil, tryck på avsändaren för att avslöja adressen innan du trycker på något annat.

Sedan en andra kontroll: skulle den här organisationen vädja till dig med en generisk hälsning och driva dig mot en inloggningslänk över ett krav du inte förväntade dig? Det är den del ingen header verifierar. Det är också där AI-filtrering tjänar sitt värde — verktyg som xmails bedrägeriflaggning jämför visningsnamnet mot den autentiserade domänen och visar fram avvikelsen, istället för att lita på det vänliga namnet så som ditt öga gör. Ett DMARC-godkännande säger dig att domänen är vem den säger att den är. Det sa aldrig att namnet var det.