Znalostní báze

Prověření odesílatele a domény napodobeniny

Kdo to je, v padesáti slovech, a není ta doména napodobenina?

Podrobnosti

Klikněte ve zprávě na jméno odesílatele a spustí se webové hledání na tu osobu i doménu, která za ní stojí.
Verdikt z příjmu sedí nad odpovědí, protože autoritativní je jen jeden ze dvou: naše vlastní kontroly čtou hlavičky této zprávy a její odkazy, zatímco hledání je jen pozadí, které model má ke jménu, a zprávu nikdy nevidělo.
Domény na hranici podobnosti se pojmenují: paypaI.com s velkým i tam, kde má být l, nebo paypal-secure.com natažené tak, aby se přečetlo jen napůl. Testem jsou dvě úpravy od názvu značky, nebo název značky s něčím přilepeným.
Porovnání se značkami běží proti dvaceti názvům, které se vyplatí napodobit: paypal, microsoft, apple, dhl, chase a další. Napodobenina domény vašeho účetního na tom seznamu není a nikdy být nemůže, takže se chytá jinak: každá doména, která uvnitř jednoho slova míchá abecedy, se pojmenuje sama o sobě, ať napodobuje kohokoli. Míchání písem je technika, ne cíl, a doména napsaná celá v cyrilici nebo řecky je normální doména a nechá se být.
Domény vypsané z jiné abecedy se před porovnáním dekódují. pаypal.com s cyrilským а cestuje jako xn--pypal-4ve.com, což je sedmnáct úprav od paypal a neodpovídá ničemu, takže se název dekóduje zpátky do toho, co by viděl člověk, napodobující písmena se složí na latinská, která kopírují, a výsledek se porovná se značkou. Váží to víc než běžná podobnost na hranici: pravopis, který se musel poskládat ze dvou abeced, nemá nevinnou verzi.
Napodobenině, která pro sebe samu projde DMARC i DKIM, což útočníka nic nestojí, protože je to jeho vlastní doména, se signály identity zlevní na 45 % jejich váhy, takže ze 40 je 18 proti prahu varování 30. Musí se tedy spustit ještě něco dalšího ve zprávě a musí to být něco, čeho se zlevnění nedotkne: odkaz, který se čte jako jedna doména a vede na jinou, laťku překročí sám, a stejně tak spustitelná příloha. Neověřený přeskok tím něčím být nemůže, protože se spouští jen u domény, která neprošla DMARC a DKIM, tedy u opaku té zlevňované, a jediná naléhavá fráze také nestačí: jedno „your account has been suspended“ má deset proti prahu třiceti, takže jsou potřeba dvě a k tomu odkaz.