Spoofing e-mail: jak oszuści podszywają się pod Twoją domenę

Adres nadawcy e-maila łatwo podrobić, tak jak adres zwrotny na kopercie. Protokół, który przenosi pocztę (SMTP), zaprojektowano dziesiątki lat temu bez mechanizmu sprawdzania, kim naprawdę jest nadawca. Dopóki właściciel domeny nie opublikuje zasad określających, które serwery mogą wysyłać pocztę w jej imieniu, system pocztowy odbiorcy nie odróżni prawdziwego e-maila od podróbki.

Te zasady to trzy rekordy DNS: SPF, DKIM i DMARC. Poniżej opisujemy, co robi każdy z nich, jak sprawdzić swoją domenę i jak włączyć ochronę, nie blokując własnych e-maili.

Cztery sposoby, w jakie oszuści używają Twojej nazwy

Dokładnie Twoja domena

Pole Od pokazuje accounts@twojafirma.pl, dokładnie Twój adres. To forma, którą SPF, DKIM i DMARC mogą zatrzymać, ale tylko wtedy, gdy DMARC jest ustawiony na quarantine lub reject.

Tylko Twoje imię i nazwisko

Wyświetlana nazwa to „Anna Kowalska, prezes”, ale za nią kryje się darmowa skrzynka. DMARC tu nie pomoże, bo domena nie jest Twoja. Adres musi sprawdzić człowiek.

Łudząco podobna domena

twojafirma-faktury.pl albo „rn” zamiast „m”. Oszust rejestruje taką domenę i może skonfigurować dla niej w pełni poprawne rekordy SPF, DKIM i DMARC. Zauważy to tylko ktoś, kto przyjrzy się uważnie.

Przejęta prawdziwa skrzynka

E-mail naprawdę przychodzi z konta Twojego dostawcy lub współpracownika, bo ktoś ukradł hasło. Przechodzi każdą kontrolę techniczną. Tutaj obroną jest uwierzytelnianie dwuskładnikowe i potwierdzanie płatności telefonicznie.

Dlaczego to ważne dla Twojej firmy

• Klienci i dostawcy dostają z Twojego adresu fałszywe faktury i „nowe dane bankowe”, a strata często odbija się na relacjach z nimi.
• Twoi pracownicy dostają „wewnętrzne” e-maile z Twojej własnej domeny, którym ufają bardziej niż jakimkolwiek e-mailom z zewnątrz.
• Cierpi dostarczalność Twoich prawdziwych e-maili. Od 1 lutego 2024 r. Gmail wymaga od wszystkich nadawców wysyłających pocztę na konta Gmail używania SPF lub DKIM, a od tych, którzy wysyłają ponad 5000 wiadomości dziennie – SPF, DKIM i DMARC.

Jak SPF, DKIM i DMARC działają razem

SPF (Sender Policy Framework)

Rekord DNS z listą serwerów, które mogą wysyłać e-maile dla Twojej domeny, np. v=spf1 include:_spf.google.com ~all. Odbiorca sprawdza, czy e-mail przyszedł z jednego z nich. Domena może mieć tylko jeden rekord SPF, a ten może wywołać najwyżej 10 dodatkowych zapytań DNS.

DKIM (DomainKeys Identified Mail)

Podpis cyfrowy, który Twój system pocztowy dodaje do każdego e-maila. Odbiorca sprawdza go kluczem publicznym opublikowanym w Twoim DNS i wie, że e-mail przyszedł z Twojego systemu i nie został zmieniony po drodze.

DMARC

Twoja instrukcja dla serwerów odbiorców: co zrobić z e-mailem, który używa Twojej domeny w polu Od, ale nie przechodzi kontroli. p=none tylko monitoruje, p=quarantine przenosi go do spamu, p=reject go odrzuca. Dzięki DMARC dostajesz też raporty o tym, kto wysyła e-maile w Twoim imieniu.

Kluczowy szczegół to wyrównanie domen (alignment). E-mail przechodzi kontrolę DMARC, gdy SPF lub DKIM daje wynik pozytywny, a sprawdzona domena zgadza się z domeną, którą odbiorca widzi w polu Od. To zatrzymuje oszusta, który wysyła z własnego serwera, ale w polu Od wpisuje Twój adres.

Jak sprawdzić swoją domenę

Wpisz swoją domenę w darmowym narzędziu do sprawdzania SPF, DKIM i DMARC. Odczytuje ono publiczne rekordy DNS i prostym językiem pokazuje, czy oszuści mogą wysyłać e-maile w Twoim imieniu, czego brakuje i jakie rekordy dodać. W Twojej domenie nic się nie zmienia, a wpisane domeny nie są przechowywane.

Możesz też sprawdzić pojedynczy e-mail: w Gmailu wybierz „Pokaż oryginał”, w Outlooku otwórz nagłówki wiadomości. Wiersz Authentication-Results pokazuje spf=, dkim= i dmarc= z wynikiem pass lub fail.

Jak włączyć DMARC, nie blokując własnych e-maili

• Spisz każdą usługę, która wysyła e-maile w Twoim imieniu: system pocztowy, narzędzie do newsletterów, program do faktur i księgowości, CRM, formularze kontaktowe na stronie.
• Dodaj je wszystkie do jednego rekordu SPF i zmieść się w limicie 10 zapytań.
• Włącz podpisywanie DKIM w każdej usłudze; każda poda rekord do dodania w DNS.
• Opublikuj DMARC z p=none i adresem do raportów. Przez kilka tygodni obserwuj raporty, aby znaleźć pominiętych nadawców.
• Gdy każdy prawdziwy nadawca przechodzi kontrolę, zmień politykę na p=quarantine, a później na p=reject.

Domenę, z której nie wychodzi żadna poczta, można od razu zablokować: v=spf1 -all w SPF i p=reject w DMARC. Zrób to tylko wtedy, gdy masz pewność, że nic z niej nie jest wysyłane, nawet automatyczne powiadomienia.

Czego DMARC nie zatrzymuje

DMARC chroni Twoją domenę, ale nie chroni Twojej skrzynki przed innymi domenami. E-maile z łudząco podobnej domeny, od nadawcy, który używa tylko Twojego imienia i nazwiska, od dostawcy, którego domena nie ma DMARC, albo z przejętej skrzynki dostawcy dotrą do Twoich pracowników. Dlatego firmy łączą ochronę domeny ze szkoleniami: pracownicy, którzy ćwiczyli na realistycznych e-mailach, zauważają obcą domenę, nietypową prośbę i presję czasu. Jak rozpoznawać takie e-maile, opisują artykuły Jak rozpoznać e-mail phishingowy i Oszustwo „na prezesa” i fałszywe faktury.

Opsinel wysyła pracownikom realistyczne symulacje phishingu, także e-maile z łudząco podobnych domen, i pokazuje krótką lekcję każdemu, kto kliknie. Więcej o tym, jak działają symulacje phishingu.