Email-спуфинг — подделка сведений об отправителе электронного письма, чтобы сообщение выглядело как отправленное доверенным человеком или организацией, а не его настоящим источником.
Как работает email-спуфинг
Базовый почтовый протокол SMTP (RFC 5321) создавался без аутентификации отправителя: адрес в поле «From» — это просто текст, который записывает отправляющий сервер. Злоумышленники пользуются этим по-разному:
- Подделка точного домена — в заголовке From указывается настоящий домен банка или компании; это работает, если у домена нет строгой политики аутентификации.
- Подделка отображаемого имени — показывается доверенное имя, например генерального директора, а реальный адрес принадлежит бесплатному почтовому сервису.
- Домены-двойники — регистрация похожего домена, например с переставленными буквами.
- Манипуляция Reply-To — ответы незаметно уходят на адрес атакующего.
Email-спуфинг — одна из форм спуфинга. Его следует отличать от компрометации учётной записи, когда письма отправляют из настоящего взломанного почтового ящика.
Почему это важно
Поддельный адрес отправителя делает фишинг и целевой фишинг гораздо убедительнее и лежит в основе компрометации деловой переписки (BEC), когда фальшивые письма от руководителей или поставщиков приводят к мошенническим платежам. Спуфинг также используют для распространения вредоносного ПО и для ударов по репутации бренда: получатели перестают доверять настоящим письмам компании.
Как предотвратить
- Опубликовать SPF-запись (RFC 7208) со списком серверов, которым разрешено отправлять почту от имени домена.
- Подписывать исходящие письма DKIM (RFC 6376).
- Внедрить DMARC (RFC 7489) и постепенно перейти к политике
p=reject; с 2024 года Google и Yahoo требуют DMARC от массовых отправителей. - Помечать внешние письма в почтовых клиентах, выявлять домены-двойники и подтверждать платёжные запросы по отдельному каналу.
