อีเมลปลอม 'PayPal Support' สามารถผ่านการตรวจสอบความปลอดภัยทุกอย่างที่คุณเชื่อใจได้

ใช่ แล้ว อีเมลปลอมสามารถทะลุผ่าน DMARC ไปได้ขณะที่บรรทัด From แสดง "PayPal Support" หรือ "Chase Fraud Department" โปรโตคอลสามตัวอักษรที่ทุกคนอ้างถึงว่าเป็นหลักฐานว่าอีเมลนั้นเป็นของจริง — SPF, DKIM, DMARC — ตรวจสอบเพียงโดเมนที่ส่งและลายเซ็นการเข้ารหัสเท่านั้น ชื่อแสดงผล ส่วนที่อ่านได้ว่า เป็นมนุษย์ที่ตาคุณจับมันได้อย่างแรก ไม่เคยถูกตรวจสอบเลย ป้ายเครื่องหมายความเชื่อใจปกป้องเขตข้อมูลที่ไม่มีใครมองไป

อีเมลปลอมสามารถผ่าน DMARC พร้อมชื่อแสดงผลปลอมได้จริง ๆ หรือ

ได้ และเหตุผลฝังอยู่ในมาตรฐาน RFC 7489 ข้อกำหนด DMARC ชัดเจนว่าเกี่ยวข้องเพียงโดเมนในส่วนหัว "RFC5322.From" — ส่วนที่อยู่หลัง @ เท่านั้น มันไม่บอกอะไรเกี่ยวกับชื่อแสดงผล ป้ายข้อความอิสระที่มาก่อนที่อยู่ ดังนั้นผู้โจมตีที่ควบคุมโดเมนธรรมดาเช่น support-team-alerts.com ตั้งค่าเรกคอร์ด SPF และ DKIM ที่ถูกต้อง และส่งจาก billing@support-team-alerts.com จะได้ผ่าน DMARC อย่างสะอาด พวกเขาเพียงแค่ตั้งชื่อแสดงผลเป็น "PayPal Service" การตรวจสอบสิทธิอันถูกต้องทางเทคนิค การนำเสนอที่ไม่สุจริตทั้งหมด

อีเมลไคลเอนต์ส่วนใหญ่ทำให้มันแย่ลงไป โทรศัพท์โดยเฉพาะแสดงชื่อเป็นมิตรและซ่อนที่อยู่ไว้เลยจนกว่าคุณจะแตะมัน คุณเห็น "PayPal Service"; ที่อยู่ support-team-alerts.com จริง ๆ นั่งอยู่หลัง chevron ที่คุณจะไม่เคยกด

DMARC ตรวจสอบอะไรบ้างจริง ๆ

DMARC ตรวจสอบว่าโดเมนในส่วนหัว From ตรงกับโดเมนที่ผู้ส่งมีสิทธิ์ใช้ — และไม่มีอะไรเกิน นั้น SPF ยืนยันว่า IP ของเซิร์ฟเวอร์ส่งอยู่บนรายการอนุมัติของโดเมน DKIM เพิ่มลายเซ็นการเข้ารหัสที่เชื่อมโยงกับโดเมน หน้าที่ของ DMARC คือ "alignment": มันทำให้แน่ใจว่าโดเมนที่ SPF หรือ DKIM ตรวจสอบไว้ตรงกับโดเมน From ที่มองเห็น ดังนั้นคุณจึงไม่สามารถผ่านการตรวจสอบสิทธิบน evil.com พร้อมกับอ้างว่าเป็น paypal.com ได้

นั่นเป็นประโยชน์อย่างแท้จริง นั่นคือเหตุผลที่การลักลอบเลียนแบบโดเมนของแบรนด์ชั้นใหญ่มีความยากขึ้น และเหตุผลที่ Google และ Yahoo เริ่มกำหนด DMARC สำหรับผู้ส่งจำนวนมากในเดือนกุมภาพันธ์ 2024 แต่ M3AAWG กลุ่มอุตสาหกรรมที่เขียนแนวทางการตรวจสอบสิทธิ์ผู้ส่ง ชัดเจนว่าโปรโตคอลเหล่านี้ตรวจสอบโดเมน ไม่ใช่จุดประสงค์หรือถ้อยคำ ซองจดหมายอาจจะจริงในขณะที่ข้อความนั้นเป็นการโกหก

ทำไมชื่อแสดงผลจึงได้หลีกเลี่ยง

เพราะอีเมลถูกสร้างขึ้นก่อนที่ใครคนใดจะคิดว่ามันจะย้ายเงิน และชื่อแสดงผลได้รับการออกแบบให้เป็นมิตร ไม่ใช่ที่ได้รับการตรวจสอบ มันเป็นป้ายข้อมูล ไม่มีทะเบียนว่าใครอาจเรียกตัวเองว่า "Apple Billing" ไม่มีการตรวจสอบกับเครื่องหมายการค้า ไม่มีอะไรเลย คุณสามารถตั้งของคุณเป็นสมเด็จพระสันตะปาปา มาตรฐานอีเมลถือว่ามันเป็นการตกแต่ง ดังนั้นขั้นตอนการตรวจสอบสิทธิจึงกระโดดข้ามมัน

นี่เป็นวิธีการที่หมวดหมู่ของการหลอกลวงที่เติบโตจริง ๆ ทำงาน: display-name spoofing คู่กับโดเมนคล้ายลักษณ์ที่ดูสมควร Internet Crime Complaint Center ของ FBI บันทึกการสูญเสีย business email compromise มากกว่า $2.9 billion ในปี 2023 — และ BEC พึ่งพาเคล็ดลับนี้อย่างหนักหน่วง ชื่อที่ดูน่าเชื่อถือเหนือที่อยู่ที่เป้าหมายไม่เคยไล่ตรวจสอบ โปรโตคอลทั้งหมดผ่านไป เงินก็ยังออกไปแล้ว

คุณจะอ่านบรรทัด From ได้อย่างไรจึงจะเป็นปัจจุบัน

หยุดอ่านชื่อและอ่านที่อยู่ บน desktop ให้วางเมาส์หรือคลิกเพื่อขยาย user@domain เต็มรูปแบบและถามคำถามหนึ่ง: นี่เป็นโดเมนที่บริษัทจริงใช้หรือไม่ ตัวอักษรต่อตัวอักษร PayPal ส่งจาก paypal.com ไม่ใช่ paypal-secure.net หรือ service-paypal.com บน mobile ให้แตะผู้ส่งเพื่อเปิดเผยที่อยู่ก่อนที่คุณจะแตะสิ่งอื่น ๆ

แล้วตรวจสอบครั้งที่สอง: องค์กรนี้จะจำบอกคุณด้วยการทักทายทั่ว ๆ ไปและผลักดันคุณไปยังลิงก์เข้าสู่ระบบมากกว่าการเรียกร้องที่คุณไม่คาดหวังหรือ นั่นคือส่วนที่ไม่มีส่วนหัวใดตรวจสอบ นี่คือที่ที่ตัวกรอง AI ได้รับเงินเดือน — เครื่องมือเช่น xmail's scam flagging เปรียบเทียบชื่อแสดงผลกับโดเมนที่ตรวจสอบสิทธิแล้วและปรากฏผลการทดสอบความไม่ตรงกัน แทนที่จะเชื่อใจป้ายมิตรที่ตาของคุณทำ ผ่าน DMARC บอกคุณว่าโดเมนเป็นสิ่งที่มันกล่าวอ้าง มันไม่เคยบอกคุณว่าชื่อเป็นเช่นนั้น