Antworten Sie auf möglicherweise gefälschte E-Mails
Ein Kollege erhielt eine unerwünschte E-Mail wie folgt:
Sehr geehrte Frau Smith
Klicken Sie auf den folgenden Link, um Dokument X zu Projekt Y zu erhalten.
Deine,
Eve Nobody
[email protected]
Ich schlug meinem Kollegen vor, Eve Nobody zu antworten und zu fragen, ob die E-Mail legitim ist. Beachten Sie, dass wir die Adresse von Eve Nobody eingegeben haben, da man den Antwort-Header manipulieren könnte.
Ich gehe von drei möglichen Szenarien aus:
- Eva Niemand existiert und sie hat die E-Mail gesendet
- Eve Niemand existiert, aber sie hat die E-Mail nicht gesendet
- Eve Niemand existiert nicht und der E-Mail-Server von company.com wird mit einer Fehlermeldung antworten
In allen möglichen Szenarien interagieren wir nur mit company.com und nicht mit potenziellen Spoofern. Daher halte ich diese Vorgehensweise für sicher.
War mein Rat richtig oder gibt es andere Aspekte zu berücksichtigen?
Zum Kontext:
- Wir sind ein Unternehmen, das mit Wissenschaft und Industrie forscht, daher haben wir viele Informationen über unsere aktuellen Projekte zusammen mit den entsprechenden Forschern. Somit können die in der ersten E-Mail enthaltenen Informationen (ein angemessener Titel für Dokument X und der Titel von Projekt Y) von unserer Homepage gesammelt werden.
- company.com ist ein legitimes Unternehmen und an einigen unserer Forschungen beteiligt.
Antworten
Sie konzentrieren sich auf die vorhandene Person und nicht auf das Konto. Bedenken Sie, dass Eve existiert, die E-Mail nicht gesendet hat, aber jemand mit Zugriff auf ihr Konto dies getan hat und eine E-Mail-Regel eingegeben hat, um zu verhindern, dass Ihre E-Mails in den Posteingang gelangen. Sie könnten ein Gespräch mit diesem Konto führen, aber nicht Eva selbst.
Also würde ich hinzufügen:
- Konto existiert, E-Mail wurde vom Konto gesendet, aber Eve hat die E-Mail nicht gesendet (kompromittiertes Konto)
- Konto existiert, E-Mail wurde vom Konto gesendet, aber Eve existiert nicht (Dummy-Konto)
In beiden Fällen könnten Sie, wenn Sie antworten, mit dem böswilligen Schauspieler und nicht mit Eva antworten.
Die beste Antwort ist, Eve auf andere Weise als per E-Mail zu kontaktieren (Anruf, andere Kontaktinformationen usw.).
Wenn Sie Eva nicht kennen, sehe ich keinen Grund, nachzufolgen.
Wenn Sie mit dem Unternehmen Geschäfte machen, das sie zu vertreten behauptet, können Sie sich an einen regelmäßigen Ansprechpartner wenden, den Sie in diesem Unternehmen verwenden. Versuchen Sie nicht, dieses Konto direkt zu aktivieren, da es möglicherweise nicht so ist, wie es scheint (z. B. ein kompromittiertes Konto oder ein Spoofing-Trick, der Ihren E-Mail-Client zum Narren hält).
Sie können auch DMARC , SPF und / oder DKIM in der Nachricht überprüfen , um festzustellen , ob sie legitim ist. Überprüfen Sie zunächst, ob die From-Domain korrekt ist. Authentication-ResultsSuchen Sie dann in der Nachricht nach einem Header. Vertrauen Sie ihm nur, wenn er von Headern umgeben ist, die von Ihrer E-Mail-Infrastruktur hinzugefügt wurden (die Systeme, mit denen Ihr Unternehmen Ihre E-Mails empfängt). Hier erfahren Sie, was von DMARC, SPF und DKIM passiert ist. Sie suchen nach einer DMARC-Ausrichtung (ein DKIM-Header, dessen d=Wert mit der FromDomäne des Headers übereinstimmt, oder eine SPF-Genehmigung. Dies bedeutet, dass Sie den SPF-Eintrag für die FromDomäne suchen und überprüfen, ob die IP des Systems, das eine Verbindung zu Ihrem MX-Eintrag herstellt, genehmigt ist). Es gibt Tools wie G Suite Toolbox Messageheader , die dies für Sie nachschlagen können (aber es wird Google-zentriert sein). Wenn SPF oder DKIM mit Ausrichtung bestanden werden, wird die Nachricht wahrscheinlich rechtmäßig von der Infrastruktur dieser Domäne gesendet (Sie wissen jedoch nicht, ob sie von einem kompromittierten Konto gesendet wurde).
Vor langer Zeit, als ich gerade keine kurzen Hosen mehr hatte und meinen ersten Auftritt als Systemadministrator hatte, antwortete ich auf eine Spam-E-Mail, in der ich sie aufforderte, mich nicht mehr zu spammen.
Es stellte sich heraus, dass die FROM-Adresse tatsächlich die Spam-Verteilerliste war und Tausende von Menschen eine E-Mail von mir erhielten, in der sie gebeten wurden, mir keinen Spam mehr zu senden. Sie schickten mir dann eine E-Mail, um zu sagen, dass sie keinen Spam senden - wie könnte ich so etwas denken.
Seitdem gebe ich sie einfach an meine Bayes'schen Filter weiter.