Email-спуфінг — підробка відомостей про відправника електронного листа, щоб повідомлення виглядало надісланим довіреною людиною чи організацією, а не справжнім джерелом.
Як працює email-спуфінг
Базовий поштовий протокол SMTP (RFC 5321) створювали без автентифікації відправника: адреса в полі «From» — це просто текст, який записує сервер-відправник. Зловмисники користуються цим по-різному:
- Підробка точного домену — у заголовку From вказують справжній домен банку чи компанії; це спрацьовує, якщо домен не має суворої політики автентифікації.
- Підробка відображуваного імені — показують довірене ім’я, наприклад генерального директора, а реальна адреса належить безкоштовному поштовому сервісу.
- Домени-двійники — реєстрація схожого домену, наприклад із переставленими літерами.
- Маніпуляція Reply-To — відповіді непомітно йдуть на адресу зловмисника.
Email-спуфінг — одна з форм спуфінгу. Його слід відрізняти від компрометації облікового запису, коли листи надсилають зі справжньої зламаної поштової скриньки.
Чому це важливо
Підроблена адреса відправника робить фішинг і цільовий фішинг набагато переконливішими й лежить в основі компрометації ділового листування (BEC), коли фальшиві листи від керівників чи постачальників призводять до шахрайських платежів. Спуфінг також використовують для поширення шкідливого ПЗ і для ударів по репутації бренду: одержувачі перестають довіряти справжнім листам компанії. Домени без записів SPF, DKIM і DMARC особливо вразливі: будь-хто може надсилати від їхнього імені листи, які поштові сервери не відрізнять від справжніх.
Як запобігти
- Опублікувати SPF-запис (RFC 7208) зі списком серверів, яким дозволено надсилати пошту від імені домену.
- Підписувати вихідні листи DKIM (RFC 6376).
- Запровадити DMARC (RFC 7489) і поступово перейти до політики
p=reject; з 2024 року Google і Yahoo вимагають DMARC від масових відправників. - Позначати зовнішні листи в поштових клієнтах, виявляти домени-двійники й підтверджувати платіжні запити окремим каналом.
