База знаний
Проверка отправителя и домены-двойники
Кто это, в пятидесяти словах, и не похож ли домен на подделку?
Подробности
- Нажмите на имя отправителя в письме, чтобы запустить веб-поиск по человеку и стоящему за ним домену.
- Вердикт, полученный при приёме письма, стоит над ответом, потому что авторитетен только один из двух: наши собственные проверки читают заголовки и ссылки именно этого письма, тогда как поиск — это собранный моделью фон по имени, и самого письма он не видел.
- Почти совпадающие домены отмечаются: paypaI.com с заглавной i на месте l или paypal-secure.com, дополненный так, чтобы взгляд проскочил мимо. Критерий — две правки от названия бренда либо название бренда с чем-то приделанным к нему.
- Сравнение с брендами идёт по двадцати именам, которые есть смысл подделывать: paypal, microsoft, apple, dhl, chase и остальные. Двойника домена вашего бухгалтера в этом списке нет и быть не может, поэтому он ловится иначе: любой домен, смешивающий алфавиты внутри одного слова, отмечается сам по себе, кому бы он ни подражал. Смешение письменностей — это приём, а не цель, и домен, целиком написанный кириллицей или греческим письмом, — обычный домен, и его не трогают.
- Домены, записанные буквами другого алфавита, перед сравнением декодируются. pаypal.com с кириллической а едет по сети как xn--pypal-4ve.com, что находится в семнадцати правках от paypal и не совпадает ни с чем, поэтому имя декодируется обратно в то, что увидел бы человек, буквы-подражатели сводятся к латинским, которые они копируют, и результат сравнивается с брендом. Вес у этого выше, чем у обычного почти-совпадения: у написания, которое пришлось собрать из двух алфавитов, нет невинной версии.
- У домена-двойника, который проходит DMARC и DKIM сам за себя — что не стоит атакующему ничего, ведь домен его собственный, — сигналы подлинности урезаются до 45% их веса, и 40 превращается в 18 при пороге предупреждения 30. Должно сработать что-то ещё в письме, причём то, чего это урезание не касается: ссылка, которая читается как один домен, а ведёт на другой, берёт планку сама по себе, и исполняемое вложение тоже. Непроверенный транзитный узел таким «чем-то ещё» быть не может, потому что он срабатывает только на домене, провалившем DMARC и DKIM, то есть на противоположном тому, у которого урезают вес; одной тревожной фразы тоже мало: одно «your account has been suspended» даёт десять при пороге в тридцать, так что нужны две такие фразы плюс ссылка.