Электронная почта 2 мин чтения

Электронная почта создавалась в 1980-х годах, и в ней не было никакого способа подтвердить, кто на самом деле отправил письмо. Поле «От» (From) — это просто текст, который вписывает отправитель, поэтому любой может отправить письмо, которое выглядит так, будто оно пришло от вашего банка, руководителя или даже от вас самих. Это и есть спуфинг электронной почты (подделка отправителя), и с него начинается большинство фишинговых атак и атак типа BEC (компрометация деловой переписки).

Как работает спуфинг

  • Подделка точного домена: в адресе отправителя используется настоящий домен, например security@yourbank.com. Такие письма блокирует DMARC, если владелец домена его настроил.
  • Подделка отображаемого имени: в имени написано «Служба безопасности вашего банка», а сам адрес — random123@freemail.example. Этот приём особенно эффективен в почтовых приложениях, которые показывают только имя.
  • Похожие домены: yourbank-support.com, paypa1.com или домены с похожими на латинские буквами из других алфавитов (например, кириллическая «а» вместо латинской).
  • Уловки с Reply-To: поле «От» выглядит правильно, но ответы уходят на адрес злоумышленника.

Как проверить, не поддельное ли письмо

  1. Посмотрите на полный адрес, а не только на имя. Нажмите на отправителя или наведите на него курсор.
  2. Проверьте результаты аутентификации. Откройте заголовки письма и вставьте их в наш анализатор заголовков писем. Результат fail для SPF, DKIM или DMARC — серьёзный тревожный сигнал.
  3. Сравните поля From, Return-Path и Reply-To. Если в них разные домены, это подозрительно.
  4. Проверьте, откуда пришло письмо. Анализатор показывает IP-адрес сервера-отправителя; проверьте его с помощью поиска по IP. Письмо «от банка», отправленное с домашнего подключения за границей, точно не настоящее.
  5. Обращайте внимание на давление: срочные требования оплатить, сброс пароля, который вы не запрашивали, изменившиеся банковские реквизиты.

Подробное пошаговое руководство — в статье о том, как читать заголовки писем.

Как защитить собственный домен

Опубликуйте три DNS-записи, чтобы почтовые серверы получателей могли отклонять поддельные письма от вашего имени:

  1. SPF перечисляет серверы, с которых вы отправляете почту.
  2. DKIM подписывает ваши письма цифровой подписью.
  3. DMARC указывает получателям помещать в карантин или отклонять письма, не прошедшие проверку, и присылает вам отчёты.

Подробнее читайте в статье SPF, DKIM и DMARC простыми словами, а проверить свои записи можно с помощью DNS-запроса.

Что делать с поддельным письмом

  • Не переходите по ссылкам, не открывайте вложения и не отвечайте.
  • Пожалуйтесь на письмо кнопкой «Сообщить о фишинге» в вашем почтовом приложении.
  • Если письмо якобы пришло от компании, услугами которой вы пользуетесь, свяжитесь с ней через официальный сайт или приложение.
  • Если вы перешли по ссылке или ввели свои данные, немедленно смените пароль и включите двухфакторную аутентификацию.

Часто задаваемые вопросы

Может ли кто-то отправить письмо с моего адреса?

Указать ваш адрес в поле «От» может кто угодно. Но если для домена настроен DMARC с политикой reject, большинство крупных почтовых сервисов такое письмо отклонят.

Почему мне пришло уведомление о недоставке письма, которое я не отправлял?

Спамеры указали ваш адрес в качестве отправителя, и отказ в доставке вернулся к вам (так называемый backscatter, «обратное рассеяние»). DMARC помогает это сократить.

Спуфинг — это незаконно?

Использование спуфинга для мошенничества или фишинга незаконно в большинстве стран.