قاعدة المعرفة
بحث عن المُرسِل والنطاقات المشابهة
من هذا، في خمسين كلمة، وهل النطاق نطاق مُشابِه مضلِّل؟
التفاصيل
- انقر على اسم المُرسِل في رسالة لتشغيل بحث على الويب عن الشخص وعن النطاق الذي خلفه.
- يقع حكم الاستقبال فوق الجواب، لأن واحدًا فقط من الاثنين مرجعيّ: ففحوصنا نحن تقرأ ترويسات هذه الرسالة وروابطها، بينما البحث خلفيةُ نموذج عن اسم ولم يرَ الرسالة قط.
- تُذكر النطاقات شبه المطابقة صراحةً: paypaI.com بحرف i كبير في موضع حرف l، أو paypal-secure.com المحشوّ ليُقرأ على عجل. والاختبار هو تعديلان عن اسم العلامة التجارية، أو اسم العلامة التجارية مع شيء مُلحَق به.
- تجري المقارنة مع عشرين اسمًا يستحقّ انتحالها: paypal و microsoft و apple و dhl و chase وسواها. أما نطاق مشابه لنطاق محاسبك فليس على تلك القائمة ولا يمكن أن يكون، ولذلك يُلتقط بطريقة أخرى: فأي نطاق يخلط أبجديات داخل كلمة واحدة يُذكر صراحةً بحدّ ذاته، أيًّا كان من يقلّده. فخلط أنظمة الكتابة هو الأسلوب لا الهدف، والنطاق المكتوب كليًّا بالسيريلية أو اليونانية نطاق عادي ويُترك وشأنه.
- تُفكّ شيفرة النطاقات المكتوبة بأبجدية أخرى قبل مقارنتها. فـ pаypal.com بحرف а سيريلي ينتقل بصيغة xn--pypal-4ve.com، وهي سبعة عشر تعديلًا عن paypal ولا تطابق شيئًا، لذا يُفكّ الاسم إلى ما يراه الإنسان، وتُطوى الحروف المقلِّدة إلى الحروف اللاتينية التي تنسخها، وتُقارن النتيجة بالعلامة التجارية. وهو مرجَّح فوق التشابه العادي: فالتهجئة التي تطلّب تركيبها أبجديتين ليس لها نسخة بريئة.
- النطاق المشابه الذي يجتاز DMARC و DKIM لنفسه، وهو ما لا يكلّف المهاجم شيئًا لأنه نطاقه هو، تُخفَّض إشارات هويته إلى 45% من وزنها، فتصير 40 ثمانية عشر مقابل عتبة تحذير قدرها 30. ولا بدّ أن ينطلق شيء آخر في الرسالة أيضًا، وأن يكون شيئًا لا يمسّه الخفض: فرابط يُقرأ كنطاق ويذهب إلى نطاق آخر يتجاوز العتبة وحده، وكذلك مرفق تنفيذي. أما القفزة غير المصادَق عليها فلا يمكن أن تكون ذلك الشيء، لأنها لا تنطلق إلا على نطاق فشل في DMARC و DKIM، وهو عكس النطاق الذي يجري خفضه، ولا تكفي عبارة عاجلة واحدة أيضًا: فعبارة «your account has been suspended» واحدة تسجّل عشرة مقابل عتبة ثلاثين، فيلزم اثنتان منها مع رابط.