Co to jest e-mail spoofing i jak rozpoznać sfałszowaną wiadomość?

E-mail spoofing to technika cyberataku polegająca na celowym sfałszowaniu adresu nadawcy w nagłówku wiadomości, by odbiorca uwierzył, że korespondencja pochodzi od zaufanej osoby lub instytucji. Sfałszowaną wiadomość najszybciej rozpoznasz analizując ukryte nagłówki techniczne poczty, weryfikując rozbieżności między polami „From” i „Return-Path” oraz sprawdzając wyniki uwierzytelniania protokołów SPF i DKIM.

Protokół SMTP jest stary. Zbudowano go dekady temu. Twórcy wczesnego internetu zakładali, że użytkownicy sieci to zamknięte grono naukowców. Nikt nie myślał o wbudowanych mechanizmach uwierzytelniania. Standard wysyłki poczty po prostu przyjmuje to, co wpisze nadawca. Jeśli serwer wysyłający deklaruje, że autorem maila jest prezes banku, serwer odbiorczy bez dodatkowych zabezpieczeń przyjmie tę informację za pewnik. To gigantyczna wada architektoniczna. My dzisiaj ponosimy tego konsekwencje. Prawda jest zresztą absolutnie taka, że brak natywnej weryfikacji toczy tę branżę od samego początku istnienia poczty elektronicznej.

Dlaczego protokół pocztowy pozwala na podszywanie się pod nadawcę?

Wysyłanie e-maila przypomina wysyłanie tradycyjnego listu w papierowej kopercie. Na samej kopercie nadawca może napisać dowolne imię i nazwisko. Poczta Polska dostarczy list pod wskazany adres odbiorcy, nie prosząc nadawcy o dowód osobisty przy wrzucaniu koperty do skrzynki. Dokładnie tak samo działa podstawowy protokół SMTP. Posiada on dwie oddzielne warstwy informacji o nadawcy. Oddzielenie tych dwóch warstw pozwala oszustom na proste manipulacje.

Pierwsza warstwa to tak zwana koperta wiadomości (envelope). Zawiera ona adres używany przez serwery do technicznego kierowania ruchem. To adres „Return-Path”. Druga warstwa to nagłówek wiadomości (header). To właśnie ten nagłówek wyświetla się w programie pocztowym użytkownika jako pole „Od” (From). Atakujący modyfikuje nagłówek „From”, wpisując tam adres zaufanej firmy. Adres kopertowy zostawia swój własny, bo to na niego trafiają ewentualne komunikaty o błędach w dostarczeniu. Program pocztowy pokazuje Ci tylko fałszywą fasadę. Zwykły użytkownik nie widzi technicznego zaplecza. To ślepy zaułek.

Zrobiliśmy na wdrożeniu audyt w małym biurze rachunkowym w gdańskim Wrzeszczu. Księgowa dostała maila od prezesa z prośbą o szybki przelew na nowe konto dostawcy. Adres w polu nadawcy zgadzał się co do litery. Księgowa prawie zleciła transfer. Dopiero rzut okiem w ukryte nagłówki pokazał, że techniczny adres powrotny kierował na darmową skrzynkę w rosyjskiej domenie. Większość systemów antyspamowych na starych serwerach w ogóle tego nie wyłapała przed poniedziałkiem. Zawiodła weryfikacja na poziomie serwera.

Jakie są techniczne różnice między e-mail spoofingiem a phishingiem?

Ludzie nagminnie mylą te dwa pojęcia. Spoofing to narzędzie. Phishing to cel. E-mail spoofing określa sam mechanizm technicznego fałszowania tożsamości w nagłówkach poczty. Nie każdy spoofing służy kradzieży haseł, czasem chodzi o zwykły spam lub zepsucie reputacji cudzej domeny. Phishing to socjotechnika. To próba wyłudzenia danych logowania, numerów kart kredytowych lub nakłonienia do instalacji złośliwego oprogramowania.

Sfałszowanie adresu to po prostu metoda uwiarygodnienia ataku phishingowego. Oszust wie, że nie klikniesz w link od nieznajomego. Używa spoofingu, by udawać Twój bank. Wtedy phishing ma szansę zadziałać.

Kiedy atakujący zmienia adres w polu Od?

Modyfikacja pola nadawcy odbywa się na etapie zestawiania sesji z serwerem wysyłającym. Atakujący korzysta ze skryptów w językach takich jak Python lub PHP, łącząc się z otwartymi przekaźnikami poczty (open relays) lub wynajętymi serwerami VPS. W kodzie skryptu jawnie deklaruje fałszywą wartość nagłówka. Serwer bez wdrożonej autoryzacji przyjmuje to polecenie. To proste. Wymaga zaledwie kilku linijek kodu.

Oszuści najczęściej fałszują domeny instytucji państwowych, banków oraz firm kurierskich. Wiedzą, że wiadomość o zablokowanym koncie lub niedoręczonej paczce wywołuje natychmiastową reakcję. Często podszywają się też pod adresy wewnętrzne w firmie. Mail od działu HR z rzekomym nowym regulaminem premiowania to klasyk. Pracownik klika w załącznik z automatu. Nikt nie podejrzewa własnego działu kadr.

Co kryje się w nagłówkach sfałszowanej wiadomości?

Cała prawda o drodze, jaką przebył e-mail, znajduje się w jego źródle. Każdy program pocztowy pozwala na wyświetlenie oryginalnych nagłówków (w Gmailu to opcja „Pokaż oryginał”, w Outlooku „Wyświetl źródło wiadomości”). Zwykły użytkownik rzadko tam zagląda. Analityk bezpieczeństwa zaczyna od tego każdą pracę.

W sfałszowanej wiadomości znajdziemy wyraźne rozbieżności. Nagłówek Return-Path będzie zawierał dziwny, niepowiązany z nadawcą adres, często ciąg losowych znaków u darmowego dostawcy. Kolejny ważny element to nagłówek Received. Pokazuje on adresy IP serwerów, przez które przeszła wiadomość. Zlokalizowanie tych adresów IP szybko obnaża oszustwo. Jeśli mail rzekomo pochodzi z polskiego urzędu, a pierwszy serwer nadawczy znajduje się w Azji, sprawa jest oczywista.

Jak rozpoznać sfałszowaną wiadomość w skrzynce odbiorczej?

Rozpoznawanie ataków wymaga zmiany nawyków. Większość ludzi skanuje wzrokiem tylko nazwę nadawcy. To błąd. Systemy pocztowe ukrywają prawdziwy adres e-mail, pokazując tylko przyjazną nazwę, na przykład „Wsparcie Klienta”. Musisz rozwinąć szczegóły nadawcy. Weryfikacja wizualna to pierwszy krok do zatrzymania oszustwa na poziomie biurka.

• Zawsze najeżdżaj kursorem na nazwę nadawcy, by wyświetlić pełny adres e-mail. Oszuści często używają technik typosquattingu, zmieniając jedną literę (np. mbank.pl na rnhank.pl), ale w przypadku czystego spoofingu adres może wyglądać na całkowicie poprawny. Wtedy musisz przejść do analizy treści.
• Zwróć uwagę na nagłówek Reply-To (Odpowiedz do). Atakujący fałszuje pole From, ale zależy mu na tym, byś odpisał na wiadomość. Ustawia więc inny adres w polu Reply-To. Jeśli mail pochodzi od „[email protected]”, ale odpowiedź kierowana jest na „[email protected]”, masz przed sobą oszustwo.

Chociaż prawdę mówiąc brakuje nam twardych danych z tego tygodnia, wydaje się to tylko jedną z możliwych hipotez na najbliższy czas, że ataki z użyciem fałszywego Reply-To stanowią bez mała prawie osiemdziesiąt procent udanych prób przejęcia komunikacji biznesowej (BEC). Oszuści nie chcą tylko Twojego kliknięcia. Oni chcą z Tobą porozmawiać.

Gdzie szukać ukrytego adresu zwrotnego?

Sprawdzanie nagłówków to ostateczny test wiarygodności. Wymaga wyciągnięcia surowego tekstu wiadomości. W surowym tekście szukaj sekcji Authentication-Results. To tutaj Twój serwer pocztowy zapisuje werdykt po sprawdzeniu zabezpieczeń nadawcy. Wynik w tym polu mówi wszystko.

Jeśli widzisz zapis spf=fail lub spf=softfail, serwer nadawcy nie był upoważniony do wysłania wiadomości w imieniu tej domeny. Jeśli znajdziesz dkim=neutral (no signature), wiadomość nie została kryptograficznie podpisana. Sfałszowane maile zazwyczaj oblewają oba te testy. Problem pojawia się, gdy właściciel prawdziwej domeny w ogóle nie skonfigurował tych mechanizmów. Wtedy serwer odbiorczy nie ma do czego porównać danych i przepuszcza fałszywkę.

Dlaczego ton wiadomości zdradza oszusta?

Technologia to jedno. Psychologia to drugie. Sfałszowane wiadomości zawsze budują sztuczną presję czasu. Cyberprzestępca nie ma czasu na długie negocjacje. Wymusza szybkie działanie, zanim ofiara zdąży pomyśleć lub skonsultować się z przełożonym. Słowa takie jak „natychmiast”, „blokada konta”, „niezapłacona faktura” czy „ostateczne wezwanie” to czerwone flagi. Żaden poważny bank nie blokuje konta z powodu braku kliknięcia w link w mailu.

Jak to określił jeden z administratorów sieci, z którym współpracujemy przy audytach: „Ludzie myślą, że jak włączą antywirusa, to są bezpieczni. A tymczasem dziurawy DNS w ich firmie krzyczy do całego świata, żeby wysyłać maile w ich imieniu”. To jest po prostu DRAMAT. Oprogramowanie chroni system. Człowiek musi chronić proces decyzyjny.

W jaki sposób mechanizmy SPF, DKIM i DMARC blokują spoofing?

Zabezpieczenie przed spoofingiem opiera się na trójcy protokołów uwierzytelniania. Działają one na poziomie rekordów DNS domeny nadawcy. Ich wdrożenie przenosi ciężar weryfikacji z człowieka na maszyny. Serwer odbiorczy sam sprawdza, czy wiadomość jest legalna, zanim w ogóle wrzuci ją do skrzynki użytkownika.

Wdrożenie tych trzech mechanizmów to podstawa administracji serwerem pocztowym. Nie można polegać tylko na jednym z nich. Działają one łącznie, uzupełniając swoje braki. SPF weryfikuje źródło. DKIM chroni treść. DMARC spina to w politykę bezpieczeństwa i decyduje, co zrobić z nieautoryzowanym ruchem.

Co dokładnie robi rekord SPF na serwerze?

SPF (Sender Policy Framework) to publiczna lista dozwolonych adresów IP. Właściciel domeny publikuje w swoim DNS krótki rekord tekstowy. Rekord ten zawiera adresy IP serwerów pocztowych, które mają prawo wysyłać maile z adresem tej domeny w polu nadawcy. Kiedy serwer odbiorczy dostaje wiadomość, sprawdza domenę w adresie kopertowym (Return-Path), odpytuje jej DNS o rekord SPF i porównuje go z adresem IP maszyny, która właśnie próbuje dostarczyć maila.

Jeśli IP nie ma na liście, test SPF kończy się niepowodzeniem. Składnia rekordu jest prosta. Wygląda na przykład tak: v=spf1 ip4:192.168.1.1 include:_spf.google.com -all. Znak minus przed „all” oznacza kategoryczne odrzucenie każdego innego serwera. Znak tyldy (~all) to tak zwany softfail, który pozwala wiadomości przejść, ale z ostrzeżeniem. Wielu administratorów zostawia tyldę na zawsze. To błąd. Zostawiają otwartą furtkę dla spamerów.

Jak kryptografia w DKIM podpisuje maile?

Sam SPF nie wystarczy. Jeśli korzystasz z chmury pocztowej takiej jak Google Workspace czy Microsoft 365, to tysiące innych firm współdzieli z Tobą te same adresy IP wysyłkowe. Ktoś inny z tego samego serwera mógłby sfałszować Twoją domenę. Tutaj wkracza DKIM (DomainKeys Identified Mail). Oszust nie podrobi klucza kryptograficznego.

DKIM dodaje do nagłówka wiadomości cyfrowy podpis. Serwer wysyłający używa klucza prywatnego do zaszyfrowania skrótu z treści maila i wybranych nagłówków. Serwer odbiorczy pobiera klucz publiczny z rekordu DNS domeny nadawcy i próbuje odszyfrować ten skrót. Jeśli wynik zgadza się z wyliczoną na nowo wartością, oznacza to dwie rzeczy. Po pierwsze, mail naprawdę pochodzi z tej domeny. Po drugie, nikt nie zmienił treści wiadomości w trakcie przesyłania przez internet. To absolutna gwarancja integralności.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) wchodzi na scenę jako ostatni. Sprawdza wyniki SPF i DKIM. Jeśli oba testy obleją, DMARC mówi serwerowi odbiorczemu, co ma zrobić. Właściciel domeny może ustawić politykę na odrzucenie wiadomości (reject), przesłanie do kwarantanny (quarantine) lub brak akcji (none). W zdecydowanej większości przypadków brak polityki „reject” w DMARC to otwarta brama dla cyberprzestępców fałszujących tożsamość marek.

Jakie błędy popełniają administratorzy przy konfiguracji poczty?

Wdrożenie uwierzytelniania poczty wydaje się banalnie proste. Wystarczy dodać trzy rekordy tekstowe do strefy DNS. W praktyce jest to pole minowe. Administratorzy notorycznie popełniają szkolne błędy, które całkowicie niweczą sens posiadania tych zabezpieczeń. Samo posiadanie rekordu SPF nic nie daje, jeśli jest on błędnie napisany.

• Przekroczenie limitu 10 zapytań DNS w rekordzie SPF. Protokół ma wbudowane ograniczenie bezpieczeństwa. Jeśli w rekordzie użyjesz zbyt wielu dyrektyw „include”, zmuszając serwer do wielokrotnego odpytywania innych domen, test SPF zostanie przerwany z błędem „PermError”. Wtedy cały mechanizm przestaje działać. Maile wpadają do spamu. Zmieniliśmy te zasady na robocie u wielu klientów, ucinając potężne łańcuchy include’ów do niezbędnego minimum.
• Pozostawienie polityki DMARC na poziomie „p=none” przez wiele lat. Polityka „none” służy tylko do testów i zbierania raportów po wdrożeniu. Jeśli firma nie zmienia jej na „quarantine” lub „reject”, oszuści nadal mogą skutecznie fałszować jej domenę, a właściciel dostaje tylko powiadomienia o tym fakcie w raportach XML.
• Rotacja kluczy DKIM nie istnieje. Administratorzy generują klucz raz, wrzucają do DNS i zapominają o sprawie na dekadę. Bezpieczeństwo wymaga wymiany kluczy kryptograficznych co najmniej raz w roku, by zminimalizować ryzyko ich złamania lub wycieku.
• Brak monitorowania zewnętrznych systemów wysyłkowych. Firma zabezpiecza główny system pocztowy, ale zapomina o narzędziach marketingowych, systemach fakturowych w chmurze czy serwerach ze stroną internetową. Jeśli te systemy wysyłają maile w imieniu głównej domeny bez autoryzacji w SPF i podpisów DKIM, DMARC bezlitośnie je zablokuje.

A tak na marginesie, szlag mnie trafia, gdy widzę kolejne wielkie korporacje z ogromnymi budżetami IT, które potrafią popsuć składnię zwykłego rekordu TXT, stawiając spację w złym miejscu lub duplikując dyrektywy. To psuje cały ekosystem zaufania w sieci. Nikt nie sprawdza tego po zapisaniu zmian u operatora domeny.

Co zrobić po kliknięciu w sfałszowany e-mail?

Stało się. Kliknąłeś w link ze sfałszowanej wiadomości. Emocje wzięły górę nad weryfikacją nagłówków. Czas ucieka. Panika to najgorszy doradca w takiej sytuacji. Musisz działać metodycznie i bardzo szybko odciąć oszustom dostęp do zasobów.

Zmień hasła. Od razu. Jeśli wpisałeś hasło na fałszywej stronie logowania, natychmiast zaloguj się na prawdziwy portal z innego urządzenia i zmień dane dostępowe. Zablokuj karty płatnicze z poziomu aplikacji bankowej, jeśli podałeś ich numery. Zgłoś incydent do działu IT w swojej firmie. Pracownicy często ukrywają fakt kliknięcia ze wstydu. To daje atakującym czas na penetrację sieci wewnętrznej i instalację oprogramowania ransomware. Zgłoszenie błędu w ciągu pierwszych minut drastycznie ogranicza skalę szkód.

Zabezpiecz dowody. Nie kasuj sfałszowanej wiadomości. Przenieś ją do osobnego folderu lub pobierz jako plik EML. Analitycy i policja będą potrzebować oryginalnych nagłówków do wyśledzenia serwerów nadawczych. Zwykły zrzut ekranu nic im nie da, bo brakuje na nim technicznego zaplecza trasy rutingu e-maila.

Sprawdź reguły przekierowań na swojej skrzynce. Oszuści, po zdobyciu dostępu do konta, często ustawiają automatyczne przekazywanie wszystkich Twoich e-maili na swój zewnętrzny adres. Robią to, by na bieżąco czytać korespondencję z Twoimi kontrahentami i przygotowywać precyzyjne ataki na nich w Twoim imieniu. Skasowanie złośliwej reguły to obowiązkowy krok podczas sprzątania po incydencie.

Uruchom pełne skanowanie urządzenia za pomocą sprawdzonego oprogramowania antywirusowego. Kliknięcie w załącznik (szczególnie pliki ze spakowanymi skryptami czy dokumenty Office z makrami) mogło uruchomić w tle proces pobierania trojana. Odetnij komputer od sieci Wi-Fi lub wyjmij kabel LAN na czas skanowania.

Podnieś poziom zabezpieczeń włączając uwierzytelnianie dwuskładnikowe (2FA) wszędzie, gdzie to możliwe. Nawet jeśli oszust wykradnie Twoje hasło przez sfałszowaną stronę, bez fizycznego dostępu do Twojego telefonu lub klucza sprzętowego U2F nie zaloguje się na konto. To twarda, fizyczna bariera, której zdalny atak z drugiego końca świata nie pokona.

Nie wierz na słowo żadnej wiadomości, która wymaga od Ciebie ominięcia standardowych procedur w firmie. Zawsze dzwoń do nadawcy. Użyj numeru telefonu z oficjalnej książki adresowej, a nie tego podanego w podejrzanym mailu. Weryfikacja poza kanałem mailowym, czyli tak zwany out-of-band authentication, to najskuteczniejsza ludzka metoda obrony przed zaawansowanym spoofingiem.

Podejmij rękawicę. Wejdź teraz na stronę narzędzia diagnostycznego, wpisz nazwę swojej domeny firmowej i sprawdź, czy w ogóle posiadasz politykę DMARC. Zrób to, zanim oszuści wyślą z Twojego adresu fałszywą fakturę do Twojego najważniejszego klienta.

Bibliografia

1. Naukowa i Akademicka Sieć Komputerowa (NASK) – https://www.nask.pl
2. Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego (CERT Polska) – https://cert.pl
3. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
4. Urząd Komunikacji Elektronicznej – https://uke.gov.pl
5. Polska Izba Informatyki i Telekomunikacji – https://piit.org.pl