E-pasta viltošana: kā krāpnieki sūta e-pastus jūsu vārdā

E-pasta sūtītāja adresi ir tikpat viegli viltot kā atpakaļadresi uz aploksnes. Protokols, ar kuru tiek pārsūtīti e-pasti (SMTP), tika izstrādāts pirms vairākiem gadu desmitiem bez jebkādas sūtītāja pārbaudes. Kamēr domēna īpašnieks nepublicē noteikumus, kuri serveri drīkst sūtīt tā vārdā, saņēmēja pasta sistēma nevar atšķirt īstu e-pastu no viltojuma.

Šie noteikumi ir trīs DNS ieraksti: SPF, DKIM un DMARC. Zemāk aprakstīts, ko katrs no tiem dara, kā pārbaudīt savu domēnu un kā ieslēgt aizsardzību, nebloķējot savus e-pastus.

Četri veidi, kā krāpnieki izmanto jūsu vārdu

Jūsu precīzais domēns

Laukā „No” redzams accounts@jusuuznemums.lv, tieši jūsu adrese. Šo veidu var apturēt SPF, DKIM un DMARC, bet tikai tad, ja DMARC ir iestatīts uz quarantine vai reject.

Tikai jūsu vārds

Redzamais vārds ir „Anna Kalniņa, valdes priekšsēdētāja”, bet aiz tā ir bezmaksas pastkaste. DMARC te nepalīdz, jo domēns nav jūsu. Adrese jāpārbauda cilvēkam.

Līdzīgs domēns

jusuuznemums-rekini.lv vai „rn” burta „m” vietā. Krāpnieks reģistrē domēnu un var tam iestatīt pilnīgi derīgus SPF, DKIM un DMARC ierakstus. To pamana tikai cilvēks, kurš skatās uzmanīgi.

Pārņemta īsta pastkaste

E-pasts tiešām nāk no jūsu piegādātāja vai kolēģa konta, jo kāds nozaga paroli. Tas iztur visas tehniskās pārbaudes. Šeit aizsardzība ir divu faktoru autentifikācija un maksājumu apstiprināšana pa tālruni.

Kāpēc tas ir svarīgi jūsu uzņēmumam

• Klienti un piegādātāji no jūsu adreses saņem viltotus rēķinus un „jaunus bankas rekvizītus”, un zaudējumi bieži skar jūsu attiecības ar viņiem.
• Jūsu darbinieki saņem „iekšējus” e-pastus no jūsu pašu domēna, kuriem viņi uzticas vairāk nekā jebkuram ārējam e-pastam.
• Cieš jūsu īsto e-pastu piegāde. Kopš 2024. gada 1. februāra Gmail pieprasa, lai visi, kas sūta uz Gmail kontiem, izmantotu SPF vai DKIM, bet tie, kas sūta vairāk nekā 5000 ziņu dienā, izmantotu SPF, DKIM un DMARC.

Kā SPF, DKIM un DMARC darbojas kopā

SPF (Sender Policy Framework)

DNS ieraksts ar serveru sarakstu, kuri drīkst sūtīt e-pastus jūsu domēna vārdā, piemēram, v=spf1 include:_spf.google.com ~all. Saņēmējs pārbauda, vai e-pasts nāca no kāda no tiem. Domēnam drīkst būt tikai viens SPF ieraksts, un tas drīkst izraisīt ne vairāk kā 10 papildu DNS vaicājumus.

DKIM (DomainKeys Identified Mail)

Digitāls paraksts, ko jūsu pasta sistēma pievieno katram e-pastam. Saņēmējs to pārbauda ar publisko atslēgu, kas publicēta jūsu DNS, un tādējādi zina, ka e-pasts nāca no jūsu sistēmas un ceļā netika mainīts.

DMARC

Jūsu norādījums saņēmējiem: ko darīt ar e-pastu, kas laukā „No” izmanto jūsu domēnu, bet neiztur pārbaudes. p=none tikai uzrauga, p=quarantine novirza uz surogātpastu, p=reject to noraida. Ar DMARC jūs saņemat arī pārskatus par to, kas sūta e-pastus jūsu vārdā.

Būtiskā detaļa ir saskaņotība (alignment). E-pasts iztur DMARC, ja SPF vai DKIM iztur pārbaudi un pārbaudītais domēns sakrīt ar domēnu, ko saņēmējs redz laukā „No”. Tieši tas aptur krāpnieku, kurš sūta no sava servera, bet laukā „No” ieraksta jūsu adresi.

Kā pārbaudīt savu domēnu

Ievadiet savu domēnu bezmaksas SPF, DKIM un DMARC pārbaudē. Tā nolasa publiskos DNS ierakstus un vienkāršiem vārdiem parāda, vai krāpnieki var sūtīt e-pastus jūsu vārdā, kas trūkst un kurus ierakstus pievienot. Jūsu domēnā nekas netiek mainīts, un ievadītie domēni netiek saglabāti.

Varat arī apskatīt atsevišķu e-pastu: pakalpojumā Gmail izvēlieties „Rādīt oriģinālu”, programmā Outlook atveriet ziņas galvenes. Rindā Authentication-Results redzams spf=, dkim= un dmarc= ar rezultātu pass vai fail.

Kā ieslēgt DMARC, nebloķējot savus e-pastus

• Uzskaitiet katru pakalpojumu, kas sūta e-pastus jūsu vārdā: pasta sistēmu, jaunumu vēstuļu rīku, rēķinu un grāmatvedības programmu, CRM, vietnes saziņas veidlapas.
• Pievienojiet tos visus vienā SPF ierakstā un nepārsniedziet 10 vaicājumu limitu.
• Ieslēdziet DKIM parakstīšanu katrā pakalpojumā; katrs no tiem norādīs ierakstu, kas jāpievieno DNS.
• Publicējiet DMARC ar p=none un pārskatu adresi. Dažas nedēļas vērojiet pārskatus, lai atrastu aizmirstus sūtītājus.
• Kad visi īstie sūtītāji iztur pārbaudi, nomainiet politiku uz p=quarantine un vēlāk uz p=reject.

Domēnu, no kura netiek sūtīts neviens e-pasts, var bloķēt uzreiz: v=spf1 -all SPF ierakstā un p=reject DMARC. Dariet to tikai tad, ja ir droši zināms, ka no tā nekas netiek sūtīts, pat ne automātiski paziņojumi.

Ko DMARC neaptur

DMARC aizsargā jūsu domēnu, bet neaizsargā jūsu pastkasti no citiem domēniem. Līdzīgs domēns, sūtītājs, kurš izmanto tikai jūsu vārdu, piegādātājs, kura domēnam nav DMARC, vai piegādātājs, kura pastkaste ir pārņemta, sasniegs jūsu darbiniekus. Tāpēc uzņēmumi apvieno domēna aizsardzību ar apmācībām: darbinieki, kuri trenējušies ar reālistiskiem e-pastiem, pamana nepareizo domēnu, neparasto lūgumu un spiedienu steigties. Kā atpazīt šādus e-pastus, aprakstīts rakstos Kā atpazīt pikšķerēšanas e-pastu un Vadītāja krāpšana un viltoti rēķini.

Opsinel sūta darbiniekiem reālistiskas pikšķerēšanas simulācijas, arī e-pastus no līdzīgiem domēniem, un ikvienam, kurš noklikšķina, parāda īsu nodarbību. Vairāk par to, kā darbojas pikšķerēšanas simulācijas.