Spoofing e-mail: nie pozwól, by ktoś pisał w twoim imieniu
Co to jest spoofing e-mail?
Spoofing to fałszowanie nadawcy wiadomości e-mail (podszywanie się pod nadawcę). Ktoś wysyła wiadomość, która wygląda, jakby pochodziła z adresu ty@twojafirma.pl, choć ty nie masz z nią nic wspólnego. Pole nadawcy w zwykłym e-mailu da się bowiem wypełnić równie łatwo jak nadawcę na kopercie: można tam wpisać, co się chce.
Spoofing często służy do phishingu i oszustw: klienci lub współpracownicy dostają od ciebie „wiarygodnie wyglądającą” wiadomość z fałszywym numerem konta lub zainfekowanym załącznikiem. Ty często niewiele zauważasz, dopóki ktoś nie zadzwoni w sprawie maila, którego nigdy nie wysłano. Idzie to w parze z phishingiem, w którym fałszywy nadawca uwiarygadnia przynętę.
Dlaczego zapobieganie spoofingowi e-mail ma znaczenie
Gdy ktoś nadużywa twojej domeny, szkoda jest podwójna. Twoi klienci mogą zostać oszukani w twoim imieniu, a twoja reputacja i dostarczalność dostają cios: jeśli z „twojej” domeny krąży dużo fałszywej poczty, serwery odbiorców zaczynają nie ufać także twojej prawdziwej poczcie.
Dla księgowego, lekarza czy firmy z sektora MŚP, których działalność opiera się na zaufaniu, to realne ryzyko. Jedna fałszywa faktura „od ciebie” może kosztować klienta tysiące euro i zaszkodzić waszej relacji. Przeciwdziałanie spoofingowi chroni więc nie tylko ciebie, ale każdego, kto otrzymuje pocztę z twojej domeny.
Jest jeszcze jedna różnica, która rozwiewa wątpliwości. Przy prawdziwym spoofingu atakujący używa w adresie nadawcy dokładnie twojej domeny; właśnie to SPF, DKIM i DMARC potrafią szczelnie zablokować. Przy podszywaniu się pod markę używa podobnej domeny (na przykład z dodatkową literą lub inną końcówką), która nie należy do ciebie. Przeciw tej drugiej formie twoje własne uwierzytelnianie nie pomaga, bo nie chodzi o twoją domenę. Warto znać to rozróżnienie, żeby wiedzieć, którą część masz w swoich rękach, a która wymaga czujności.
Jak to działa
W społeczności security.nl trafnie padło kluczowe pytanie: czy DKIM i DMARC naprawdę pomagają przeciw spoofingowi? Krótka odpowiedź: tak, pod warunkiem że używasz ich razem. Współpracują tu trzy mechanizmy, każdy z własną rolą.
- SPF zapisuje w twoim DNS, które serwery mogą wysyłać pocztę w imieniu twojej domeny. Odbiorca sprawdza, czy wiadomość pochodzi z takiego dozwolonego serwera.
- DKIM umieszcza na twojej poczcie wychodzącej podpis cyfrowy. Odbiorca sprawdza ten podpis i dzięki temu wie, że wiadomość naprawdę pochodzi z twojej domeny i nie została po drodze zmieniona.
- DMARC spina całość. Mówi odbiorcy, co zrobić, gdy SPF lub DKIM się nie zgadza: nic, przenieść do spamu albo twardo odrzucić. DMARC wymaga też, żeby widoczny adres nadawcy był zgodny z tym, co potwierdzają SPF i DKIM (to tak zwana zgodność domen, alignment).
Właśnie ten ostatni krok robi różnicę w walce ze spoofingiem. SPF i DKIM same w sobie nie mówią jeszcze nic o widocznym adresie „od”, który widzi odbiorca. Dopiero z DMARC wymagasz, żeby spoofer podszywający się pod twoją domenę wpadł i został odrzucony. Jeśli chcesz dokładnie zrozumieć, co robi DMARC, przeczytaj, co to jest DMARC. Wspólną konfigurację krok po kroku opisuje artykuł jak razem ustawić SPF, DKIM i DMARC.
Na co trzeba uważać
- DMARC zaczyna łagodnie. Zwykle startujesz z polityką, która tylko raportuje (
p=none), żeby zobaczyć, kto wysyła pocztę w twoim imieniu, zanim zaostrzysz ją do kwarantanny lub odrzucania. - Nie zapomnij o legalnych nadawcach. Jeśli usługa newslettera albo program księgowy wysyła pocztę w twoim imieniu, muszą być uwzględnione w SPF i DKIM, inaczej przypadkiem zablokujesz własną pocztę.
- Całkowite wyeliminowanie spoofingu jest niemożliwe. Znacznie utrudniasz nadużywanie właśnie twojej domeny, ale atakujący wciąż mogą przejść na domeny łudząco podobne. Dlatego zwracaj też uwagę na sygnały phishingu.
- Liczy się utrzymanie. Gdy zmienia się twoja infrastruktura wysyłkowa, rekordy też muszą się zmienić. Nieaktualne rekordy same są źródłem problemów.
- Wpływa to na twoją dostarczalność. Poprawne uwierzytelnianie pomaga nie tylko przeciw spoofingowi, ale sprawia też, że twoja własna poczta lepiej dociera, jak opisano w artykule dlaczego poczta trafia do spamu.
Jeszcze jedna praktyczna wskazówka: korzystaj z raportów DMARC, które otrzymujesz. Gdy tylko DMARC jest aktywny, serwery odbiorców wysyłają zestawienia wszystkich, którzy wysyłają pocztę w imieniu twojej domeny. Widzisz w nich nie tylko próby nadużyć, ale odkrywasz też legalne usługi, które musisz jeszcze dodać, zanim zaostrzysz politykę. Czytanie tych raportów wymaga chwili przyzwyczajenia, ale dają ci dokładnie tę wiedzę, która pozwala celowo zablokować spoofing bez blokowania własnej poczty.
A w Mailflux?
W Mailflux zarządzamy SPF, DKIM i DMARC dla twojej domeny, żeby sfałszowane wiadomości w twoim imieniu znacznie trudniej się przedostawały, a twoja własna poczta niosła właściwe sygnały. Nie musisz samodzielnie zagłębiać się w rekordy DNS; aktualizujemy je, gdy coś się zmienia.
Każdy plan dodatkowo filtruje spam, phishing i złośliwe oprogramowanie za pomocą uczenia maszynowego (machine learning), ze standardową ochroną antywirusową, antyspamową i ochroną przed złośliwym oprogramowaniem, automatycznymi kopiami zapasowymi i opcjonalną weryfikacją dwuetapową. Dostajesz profesjonalną pocztę we własnej domenie, hostowaną w Europie i zgodną z ogólnym rozporządzeniem o ochronie danych (RODO).
FAQ
Najczęściej zadawane pytania
Czy DKIM i DMARC naprawdę pomagają przeciw spoofingowi?
Tak, ale razem. DKIM podpisuje twoją pocztę, żeby fałszerstwo było widoczne, a DMARC wymusza, żeby widoczny adres nadawcy był zgodny z tym, co potwierdzają SPF i DKIM. Bez DMARC adres „od” łatwo sfałszować; przy rygorystycznej polityce DMARC spoofing twojej domeny jest odrzucany.
Czy mogę całkowicie zatrzymać spoofing?
Dzięki SPF, DKIM i rygorystycznej polityce DMARC znacznie utrudniasz nadużywanie twojej własnej domeny. Całkowicie wykluczyć się tego nie da: atakujący przechodzą na podobne domeny, które nie należą do ciebie. Dlatego czujność twoja i twoich odbiorców pozostaje niezbędnym uzupełnieniem techniki.
Ktoś wysyła maile w moim imieniu. Co robić?
Najpierw sprawdź, czy SPF, DKIM i DMARC są poprawnie ustawione, i w razie potrzeby zaostrz DMARC. Ostrzeż poszkodowane kontakty, że krąży fałszywa poczta. Jeśli zauważysz, że chodzi o podobną domenę, a nie o twój własny adres, jest to podszywanie się pod markę i pomaga przede wszystkim świadomość odbiorców.