Sahte "PayPal Desteği" E-postası Güvendiğiniz Her Güvenlik Kontrolünü Geçebilir

Evet, kimliği taklit edilmiş bir e-posta, From satırı "PayPal Support" veya "Chase Fraud Department" olarak görünürken DMARC'ı geçebilir. Herkesin bir e-postanın gerçek olduğunun kanıtı olarak gösterdiği üç harfli protokoller — SPF, DKIM, DMARC — yalnızca gönderici alanı ve şifreleme imzasını doğrular. Display name, göze ilk çarpan insanlar tarafından okunabilir bölüm, hiçbir zaman kontrol edilmez. Güven rozetleri, kimsenin bakmadığı alanı korur.

Sahte bir display name ile kimliği taklit edilmiş bir e-posta gerçekten DMARC'ı geçebilir mi?

Geçebilir ve bunun nedeni standardın içine gömülüdür. RFC 7489, DMARC belirtimi, yalnızca "RFC5322.From" başlığındaki alanla ilgilendiğini açıkça belirtir — @ işaretinden sonraki kısım. Display name, adresin önünde gelen serbest metinli etiket hakkında hiçbir şey söylemez. Dolayısıyla support-team-alerts.com gibi sıradan bir alan kontrol eden bir saldırgan, doğru SPF ve DKIM kayıtları kurar ve billing@support-team-alerts.com adresinden gönderirse temiz bir DMARC geçişi alacaktır. Sadece display name'i "PayPal Service" olarak ayarlarlar. Teknik olarak kusursuz kimlik doğrulama. Tamamen dürüst olmayan sunum.

Çoğu mail istemcisi daha sonra bunu daha kötü hâle getirir. Özellikle telefonlar, arkadaş canlısı adı gösterir ve gerçek adresi siz üzerine dokunana kadar gizli tutar. "PayPal Service" görürsünüz; gerçek support-team-alerts.com, asla basılmayacak bir şevron arkasında oturur.

Öyleyse DMARC aslında neyi kontrol ediyor?

DMARC, From başlığındaki alanın, göndericinin kullanmaya yetkili olduğu bir alanla hizalandığını kontrol eder — başka hiçbir şey değil. SPF, gönderme sunucusunun IP'sinin alanın onaylı listesinde olduğunu doğrular. DKIM, bir alana bağlı bir şifreleme imzası ekler. DMARC'ın işi "alignment": SPF veya DKIM'in doğruladığı alanın görünür From alanı ile eşleştiğinden emin olmak, böylece evil.com üzerinde kimlik doğrulama yaparken paypal.com olduğunuzu iddia edemezsiniz.

Bu gerçekten yararlı. Büyük markaların açık alandaki taklidinin daha zor hâle gelmiş olmasının nedeni bu ve Google ile Yahoo'nun Şubat 2024'te toplu gönderenler için DMARC gerektirmeye başlamış olmasının nedeni budur. Gönderen kimlik doğrulama rehberi yazan sektör grubu M3AAWG, bu protokollerin alanı doğruladığını, niyeti veya yazışmayı değil, açıkça belirtmiştir. Zarf gerçek olabilir, mesaj yalan olabilir.

Display name neden bedava geçer?

Çünkü e-posta, birilerinin para hareket ettireceğini hayal etmeden önce inşa edildi ve display name, doğrulanmak değil, dostane olmak için tasarlandı. Bir centilmenlik etiketi. "Apple Billing" olarak kendilerini arayabilecek kimsenin kaydı yok, ticari marka hakkında kontrol yok, hiçbir şey yok. Sizinkini Papa olarak ayarlayabilirsiniz. Posta standartları bunu dekorasyon olarak ele alırlar, bu nedenle kimlik doğrulama adımları onu atlar.

Bu aynı zamanda büyüyen bir dolandırıcılık kategorisinin de nasıl çalıştığıdır: display name taklidinin yasal görünümlü benzer alan adı ile eşleştirilmesi. FBI'ın İnternet Suçu Şikayet Merkezi, 2023'te 2,9 milyar dolardan fazla iş e-posta uzlaşması kaybı kaydetti — ve BEC tam olarak bu numaraya, güvenilir görünen bir ad üzerinde hedefin hiçbir zaman incelemediği bir adresi, başvurur. Protokollerin tümü geçti. Para yine de gitti.

Şimdi From satırını nasıl gerçekten okursunuz?

Adı okumayı bırakın ve adresi okuyun. Masaüstünde, tam user@domain'i genişletmek için üzerine gelin veya tıklayın ve bir soru sorun: bu, gerçek şirketin kullandığı alan adı mı, harf harf? PayPal, paypal-secure.net veya service-paypal.com değil, paypal.com adresinden gönderir. Mobilde, başka bir şeye dokunmadan önce adresi ortaya çıkarmak için gönderenin üzerine dokunun.

Daha sonra ikinci bir kontrol: bu kuruluş sizi genel bir selamla karşılayıp, beklemediğiniz bir talep üzerine bir giriş bağlantısına doğru mu itiyor? Bu, hiçbir başlığın doğrulamadığı kısım. Burası, AI filtrelemesinin de işe yaradığı yerdir — xmail'in dolandırıcılık flagging gibi araçlar, display name'i kimliği doğrulanan alanla karşılaştırırlar ve gözünüzün dostane etiketin olduğunu güvenmesi yerine uyuşmazlığı ortaya çıkarırlar. DMARC geçişi, alanın söylediği olduğunu söyler. Asla adın öyle olduğunu söylemedi.