Email Giả Mạo 'Hỗ Trợ PayPal' Có Thể Vượt Qua Mọi Kiểm Tra Bảo Mật Mà Bạn Được Bảo Đảm Tin Tưởng

Có, một email giả mạo có thể vượt qua DMARC trong khi dòng Từ (From) hiển thị "PayPal Support" hoặc "Chase Fraud Department." Ba giao thức chữ cái mà mọi người trích dẫn là bằng chứng email là thực — SPF, DKIM, DMARC — chỉ xác minh miền gửi và chữ ký mã hóa. Tên hiển thị, phần có thể đọc được của con người mà mắt bạn hướng vào lần đầu tiên, không bao giờ được kiểm tra. Huy hiệu tin tưởng bảo vệ trường mà không ai nhìn vào.

Email giả mạo có thực sự có thể vượt qua DMARC với tên hiển thị giả mạo không?

Có thể, và lý do nằm sâu trong tiêu chuẩn. RFC 7489, đặc tả DMARC, nêu rõ rằng nó chỉ liên quan đến miền trong tiêu đề "RFC5322.From" — phần sau dấu @. Nó không nói gì về tên hiển thị, nhãn văn bản tự do xuất hiện trước địa chỉ. Vì vậy, kẻ tấn công kiểm soát một miền thông thường như support-team-alerts.com, thiết lập các bản ghi SPF và DKIM chính xác, và gửi từ billing@support-team-alerts.com sẽ nhận được phiên DMARC sạch sẽ. Họ chỉ đặt tên hiển thị thành "PayPal Service." Xác thực hoàn toàn kỹ thuật. Trình bày hoàn toàn không trung thực.

Hầu hết các máy khách email sau đó làm cho nó tệ hơn. Điện thoại đặc biệt hiển thị tên thân thiện và ẩn địa chỉ hoàn toàn cho đến khi bạn nhấn vào. Bạn thấy "PayPal Service"; support-team-alerts.com thực tế nằm phía sau một mũi tên mà bạn sẽ không bao giờ nhấn.

DMARC thực sự đang kiểm tra cái gì?

DMARC kiểm tra rằng miền trong tiêu đề Từ (From) phù hợp với một miền mà người gửi được phép sử dụng — và không có gì khác. SPF xác nhận rằng IP của máy chủ gửi nằm trong danh sách được phê duyệt của miền. DKIM thêm một chữ ký mã hóa được liên kết với một miền. Công việc của DMARC là "sự liên kết": nó đảm bảo rằng miền mà SPF hoặc DKIM xác minh được khớp với miền Từ (From) hiển thị, vì vậy bạn không thể vượt qua xác thực trên evil.com trong khi tuyên bố là paypal.com.

Đó là thực sự hữu ích. Đó là lý do tại sao việc mạo danh miền hoàn toàn các thương hiệu lớn trở nên khó khăn hơn, và lý do tại sao Google và Yahoo bắt đầu yêu cầu DMARC cho những người gửi hàng loạt vào tháng Hai 2024. Nhưng M3AAWG, nhóm ngành viết hướng dẫn xác thực người gửi, rõ ràng rằng các giao thức này xác thực miền, không phải ý định hoặc từ ngữ. Phong bì có thể thực, trong khi thông điệp là một lời nói dối.

Tại sao tên hiển thị lại được thả nổi miễn phí?

Bởi vì email được xây dựng trước khi bất cứ ai tưởng tượng nó sẽ di chuyển tiền, và tên hiển thị được thiết kế để thân thiện, không được xác minh. Nó là một nhãn tế nhị. Không có sổ đăng ký về ai có thể gọi chính mình là "Apple Billing," không có kiểm tra so với nhãn hiệu, không có gì. Bạn có thể đặt của mình thành Đức Giáo Hoàng. Các tiêu chuẩn thư điện tử coi nó là trang trí, vì vậy các bước xác thực bước qua nó.

Đây cũng là cách một danh mục scam ngày càng lớn hoạt động: tên hiển thị giả mạo kết hợp với một miền giống như có vẻ hợp pháp. Trung tâm Khiếu nại Tội phạm Internet của FBI ghi nhận hơn $2,9 tỷ tổn thất thỏa thuận email kinh doanh vào năm 2023 — và BEC dựa nặng vào chính xác thủ thuật này, một tên trông đáng tin cây trên một địa chỉ mà mục tiêu không bao giờ kiểm tra. Các giao thức đều vượt qua. Tiền vẫn còn rời đi.

Làm thế nào bạn thực sự đọc dòng Từ (From) bây giờ?

Dừng đọc tên và đọc địa chỉ. Trên máy tính để bàn, di chuột hoặc nhấp để mở rộng toàn bộ user@domain và đặt một câu hỏi: đây có phải là miền mà công ty thực sử dụng, chữ cái cho chữ cái không? PayPal gửi từ paypal.com, không phải paypal-secure.net hoặc service-paypal.com. Trên di động, nhấn vào người gửi để tiết lộ địa chỉ trước khi bạn nhấn vào bất cứ thứ gì khác.

Sau đó là một kiểm tra thứ hai: tổ chức này có sẽ gọi bạn bằng một lời chào chung chung và đẩy bạn hướng một liên kết đăng nhập trên một nhu cầu mà bạn không mong đợi không? Đó là phần không có tiêu đề nào xác minh. Đây cũng là nơi mà bộ lọc AI kiếm được tiền của nó — các công cụ như phép cờ lừa đảo của xmail so sánh tên hiển thị với miền được xác thực và bề mặt sự không phù hợp, thay vì tin tưởng nhãn thân thiện như mắt của bạn. Lệnh DMARC cho bạn biết miền là ai nó nói. Nó không bao giờ bảo bạn tên là.