Responder a correos electrónicos potencialmente falsificados
Un colega recibió un correo electrónico no solicitado como el siguiente:
Estimada Sra. Smith
haga clic en el siguiente enlace para recibir el Documento X sobre el Proyecto Y.
Tuyo,
Eve Nadie
[email protected]
Le sugerí a mi colega que respondiera a Eve Nobody y le preguntara si el correo electrónico es legítimo. Tenga en cuenta que escribimos la dirección de Eve Nobody, ya que se podría alterar el encabezado de respuesta.
Asumo tres escenarios posibles:
- Eve No existe nadie y ella envió el correo electrónico
- Eve No existe nadie, pero ella no envió el correo electrónico
- Eve Nobody no existe, y el servidor de correo electrónico de company.com responderá con un mensaje de error.
En todos los escenarios posibles, solo interactuamos con company.com y no con ningún spoofer potencial. Por lo tanto, considero seguro este curso de acción.
¿Fue acertado mi consejo o hay otros aspectos a considerar?
Para el contexto:
- Somos una firma que investiga con la academia y la industria, de ahí que tengamos mucha información sobre nuestros proyectos actuales junto con los investigadores correspondientes. Por lo tanto, la información contenida en el correo electrónico inicial (un título razonable para el Documento X y el título del Proyecto Y) se puede recopilar en nuestra página de inicio.
- company.com es una empresa legítima y está involucrada en algunas de nuestras investigaciones.
Respuestas
Estás enfocado en la persona existente y no en la cuenta. Considere que Eve existe, no envió el correo electrónico, pero alguien con acceso a su cuenta lo hizo, y ha ingresado una regla de correo electrónico para evitar que sus correos electrónicos lleguen a la bandeja de entrada. Podrías mantener una conversación con esa cuenta pero no con la propia Eva.
Entonces yo agregaría:
- La cuenta existe, se envió un correo electrónico desde la cuenta, pero Eve no envió el correo electrónico (cuenta comprometida)
- La cuenta existe, se envió un correo electrónico desde la cuenta, pero Eve no existe (cuenta ficticia)
En ambos casos, si responde, podría estar respondiendo con el actor malicioso y no con Eve.
La mejor respuesta es contactar a Eve a través de algún medio que no sea el correo electrónico (llamada, otra información de contacto, etc.)
Si no conoces a Eve, no veo ninguna razón para hacer un seguimiento.
Si hace negocios con la empresa que ella dice representar, puede comunicarse con un contacto habitual que utilice en ese negocio. No intente involucrar esa cuenta directamente porque puede no ser lo que parece (por ejemplo, una cuenta comprometida o un truco de suplantación de identidad que engaña a su cliente de correo electrónico).
También puede examinar el DMARC , SPF y / o DKIM en el mensaje para ver si es legítimo. Primero, verifique que el dominio De sea correcto. Luego busque un Authentication-Resultsencabezado en el mensaje. Solo confíe en él si está rodeado de encabezados agregados por su infraestructura de correo electrónico (los sistemas que usa su empresa para recibir su correo). Le dirá qué pasó con DMARC, SPF y DKIM. Está buscando una alineación DMARC (un encabezado DKIM cuyo d=valor coincida con el Fromdominio del encabezado o una aprobación SPF, lo que significa encontrar el registro SPF para el Fromdominio y verificar que la IP del sistema que se conecta a su registro MX esté aprobada). Hay herramientas como G Suite Toolbox Messageheader que pueden buscarlo por usted (pero estará centrado en Google). Si SPF o DKIM pasan con la alineación, es probable que la infraestructura de ese dominio envíe legítimamente el mensaje (pero no sabe si lo envió una cuenta comprometida).
Hace mucho tiempo, cuando me acababa de quitar los pantalones cortos y trabajaba en mi primer trabajo como administrador de sistemas, respondí a un correo electrónico no deseado pidiéndoles que dejaran de enviarme spam.
Resultó que la dirección DE era en realidad la lista de distribución de spam y miles de personas recibieron un correo electrónico mío pidiéndoles que dejaran de enviarme spam. Luego me enviaron un correo electrónico para decirme que no estaban enviando spam, ¿cómo podría pensar algo así?
Desde entonces, simplemente los paso a mis filtros bayesianos.