Поддельний email «PayPal Support» може пройти всі перевірки безпеки, на які вам казали спиратися

Так, підроблений email може пройти DMARC, коли рядок «From» читається як «PayPal Support» або «Chase Fraud Department». Три літерних протоколи, які всі цитують як докази того, що email справжній — SPF, DKIM, DMARC — перевіряють лише домен відправника та криптографічний підпис. Ім'я для відображення, людиночитаний біт, на який ваш погляд падає першим, ніколи не перевіряється. Значок довіри захищає поле, на яке ніхто не дивиться.

Чи може підроблений email насправді пройти DMARC з поддельним ім'ям для відображення?

Може, і причина вбудована в сам стандарт. RFC 7489, специфікація DMARC, чітко стверджує, що вона стосується лише домену в заголовку «RFC5322.From» — частини після символу @. Вона нічого не говорить про ім'я для відображення, вільний текстовий ярлик, який стоїть перед адресою. Так що зловмисник, який контролює звичайний домен як support-team-alerts.com, налаштовує правильні записи SPF та DKIM, і відправляє з billing@support-team-alerts.com, отримає чистий DMARC-пас. Йому потрібно лише встановити ім'я для відображення на «PayPal Service». Технічно бездоганна автентифікація. Абсолютно нечесне представлення.

Більшість поштових клієнтів потім роблять це гірше. Телефони зокрема показують дружелюбне ім'я та приховують адресу повністю, доки ви на неї не натиснете. Ви бачите «PayPal Service»; справжній support-team-alerts.com сидить позаду шеврона, який ви ніколи не натиснете.

Тоді що насправді перевіряє DMARC?

DMARC перевіряє, що домен у заголовку «From» збігається з доменом, який відправник уповноважений використовувати — і не більше того. SPF підтверджує, що IP сервера, що відправляє, знаходиться на затвердженому списку домену. DKIM додає криптографічний підпис, пов'язаний з доменом. Завдання DMARC — «узгодження»: це гарантує, що домен, який перевірив SPF або DKIM, збігається з видимим доменом «From», щоб ви не могли пройти автентифікацію на evil.com, видаючи себе за paypal.com.

Це справді корисно. Тому видавання себе за великі бренди стало складнішим, і тому Google та Yahoo почали вимагати DMARC від масових відправників у лютому 2024 року. Але M3AAWG, галузева група, яка пише настанови щодо автентифікації відправників, чітко каже, що ці протоколи автентифікують домен, а не намір або формулювання. Конверт може бути справжнім, а повідомлення — брехня.

Чому ім'я для відображення отримує безплатний пропуск?

Тому що email був побудований до того, як хтось уявив, що він буде переводити гроші, а ім'я для відображення було розроблено, щоб бути дружелюбним, а не перевіреним. Це ярлик ввічливості. Немає реєстру того, хто може називати себе «Apple Billing», немає перевірки проти торгової марки, нічого. Ви можете встановити своє на «Папа Римський». Поштові стандарти розглядають його як прикрасу, тому етапи автентифікації просто його пропускають.

Це також те, як працює растучу категорія шахрайства: підробка ім'я для відображення в парі з правдоподібним доменом-двійником. Центр скарг на інтернет-злочини ФБР зареєстрував більше $2.9 мільярда збитків від компромісу ділової електронної пошти у 2023 році — і BEC сильно спирається саме на цей трюк, довіде-східне ім'я над адресою, яку ціль ніколи не перевіряє. Всі протоколи пройшли. Гроші все одно вийшли.

Як ви насправді читаєте рядок «From» зараз?

Перестаньте читати ім'я і читайте адресу. На робочому столі наведіть курсор або натисніть, щоб розгорнути повний user@domain, і поставте одне запитання: чи це домен, який використовує справжня компанія, літера за літерою? PayPal відправляє з paypal.com, а не з paypal-secure.net або service-paypal.com. На мобільному пристрої натисніть на відправника, щоб розкрити адресу перед тим, як натиснути на щось інше.

Потім друга перевірка: чи звернулася б ця організація до вас загальним привітанням і підштовхнула вас до посилання входу над невідомою вимогою? Це та частина, яку жоден заголовок не перевіряє. Тут також штучний інтелект фільтрування заслуговує своє місце — інструменти як xmail's scam flagging порівнюють ім'я для відображення з аутентифікованим доменом і показують невідповідність, замість того щоб довіряти дружелюбному ярлику, як це робить ваше око. DMARC-пас говорить вам, що домен — це той, за кого він себе видає. Він ніколи не говорив вам, що ім'я було справжнім.