Base de conhecimento

Investigação do remetente e domínios sósia

Quem é esta pessoa, em cinquenta palavras, e o domínio é um sósia?

Detalhes

Clique no nome do remetente numa mensagem para correr uma pesquisa na web sobre a pessoa e o domínio por trás dela.
O veredicto da receção fica acima da resposta, porque só um dos dois é autoritativo: as nossas verificações leem os cabeçalhos desta mensagem e as suas ligações, enquanto a pesquisa é o contexto que um modelo tem sobre um nome e nunca viu a mensagem.
Os domínios quase iguais são assinalados: paypaI.com com um i maiúsculo onde devia estar o l, ou paypal-secure.com esticado para se ler à pressa. O teste é duas edições de distância do nome da marca, ou o nome da marca com algo agarrado a ele.
A comparação de marcas é feita contra vinte nomes que vale a pena personificar: paypal, microsoft, apple, dhl, chase e o resto. Um sósia do domínio do seu contabilista não está nessa lista e nunca poderia estar, por isso é apanhado de outra forma: qualquer domínio que misture alfabetos dentro de uma mesma palavra é assinalado por si só, seja quem for que esteja a imitar. Misturar sistemas de escrita é a técnica e não o alvo, e um domínio escrito inteiramente em cirílico ou em grego é um domínio normal e é deixado em paz.
Os domínios escritos a partir de outro alfabeto são descodificados antes de serem comparados. pаypal.com com um а cirílico viaja como xn--pypal-4ve.com, que está a dezassete edições de paypal e não corresponde a nada, por isso o nome é descodificado de volta para o que uma pessoa veria, as letras imitadoras são convertidas nas latinas que copiam, e o resultado é comparado com a marca. É ponderado acima de um quase igual comum: uma grafia que teve de ser montada a partir de dois alfabetos não tem versão inocente.
Um sósia que passa no DMARC e no DKIM por si próprio, o que não custa nada a um atacante já que o domínio é dele, tem os seus sinais de identidade descontados para 45% do seu peso, e 40 passa a 18 contra um limiar de aviso de 30. Tem de disparar mais alguma coisa na mensagem, e tem de ser algo que o desconto não toque: uma ligação que se lê como um domínio e vai para outro passa a fasquia sozinha, tal como um anexo executável. Um salto não autenticado não pode ser essa coisa, porque só dispara num domínio que falhou o DMARC e o DKIM, que é o oposto daquele que está a ser descontado, e uma única frase de urgência também não chega: um “a sua conta foi suspensa” pontua dez contra um limiar de trinta, por isso são precisos dois deles mais uma ligação.