3 header email ini membuktikan sebuah pesan palsu — begini cara memeriksanya

Penipuan sangat umum dalam masyarakat kita, dan jika Anda tidak berhati-hati, Anda mungkin menyetujui transfer kawat hanya karena emailnya terlihat sah. Pelaku jahat telah menyempurnakan seni membuat logo terlihat jelas, mencocokkan nama pengirim dengan nama vendor Anda, dan memberikan tingkat urgensi yang tepat pada baris subjek. Pada akhirnya, mereka mungkin menipu bahkan orang yang paling cerdas di antara kita.

Namun, masalah sebenarnya adalah ketika Anda menerima email, Anda biasanya menentukan keaslian dengan menilai apa yang terlihat. Saya pernah membicarakan tentang daftar periksa yang digunakan sebelum membuka PDF, tetapi ada juga seperangkat parameter yang harus diperiksa sebelum menganggap email itu asli. Informasi nyata yang harus diwaspadai seringkali terdapat dalam metadata.

Kolom "Dari" tidak membuktikan siapa yang mengirim email

Otentikasi memvalidasi sebuah domain, bukan sebuah merek

Belajarlah untuk tidak mempercayai nama tampilan karena, dalam keseluruhan skema, itu sebenarnya tidak membuktikan apa pun. Tentu saja, biasanya nama ini mencolok, terutama jika Anda menggunakan Gmail atau Outlook, tetapi ini hanya karena cara sebagian besar klien email ini dibuat; mereka memprioritaskan kenyamanan daripada verifikasi.

Menerima email yang jelas bertuliskan "Keamanan PayPal" tidak berarti PayPal yang mengirimnya. Pengirim sebenarnya mungkin noreply@paypa1-secure.ru, dengan huruf kecil "l" pada PayPal diganti menjadi "1." Ini bisa menipu Anda jika Anda sedang terburu-buru. Untuk melihat pengirim sebenarnya, periksa header From untuk email pengirim dalam tanda kurung sudut. Namun, ini saja tidak dapat memberikan konfirmasi final tentang keaslian. Anda harus memeriksa sumber email. Di Gmail, buka email, klik tiga titik di sebelah ikon balas, dan klik Tampilkan asli; di Outlook desktop, buka File -> Properties -> Internet Headers; di Apple Mail, buka View -> Message -> All Headers. Di halaman Pesan Asli, tiga potong data yang penting adalah Dari, Return-Path, dan Hasil Otentikasi (hasil SPF, DKIM, dan DMARC).

Nilai untuk SPF, DKIM, dan DMARC harus PASS. Namun, hal ini saja masih tidak membuktikan keaslian. Tetapi setidaknya hal ini memberi tahu Anda bahwa email pengirim terautentikasi dengan benar, yang berarti siapa pun yang mengirim email tersebut memiliki kontrol teknis atas domain. Ingat, seorang kriminal bisa mendaftarkan paypa1-secure.com, dan jika mereka mengonfigurasi SPF, menandatangani pesan dengan DKIM, dan menerbitkan kebijakan DMARC, mereka akan berhasil membuktikan kontrol teknis.

Pada lapisan ini, tanda utama dari email palsu adalah ketidaksesuaian di antara header (From, Return-Path, hasil SPF/DKIM). Pastikan alamat From yang terlihat sesuai dengan domain di Return-Path, dan pastikan IP SPF lulus untuk domain merek yang sebenarnya. Jika semua ini diperiksa dan sesuai, maka ada kemungkinan besar bahwa email tersebut bukan palsu.

Klien email Anda bekerja keras untuk menangkap phishing, tetapi tidak ada filter yang sempurna. Serangan yang canggih, domain yang baru terdaftar, dan email yang dialihkan melalui akun yang dikompromikan secara rutin lolos dari pertahanan otomatis.

Rantai "Diterima" menunjukkan dari mana email sebenarnya berasal

Setiap server email meninggalkan jejak yang sulit dikendalikan oleh penyerang

Ketika server email menangani sebuah pesan, ia menambahkan baris Received di bagian atas header. Seorang penyerang dapat memalsukan baris Received sebelum email meninggalkan sistem penyerang. Namun, server email masuk juga menyertakan sebuah baris sebagai bagian dari rantai Received. Penambahan ini adalah sesuatu yang tidak dapat dipalsukan oleh penyerang. Jika terjadi ketidakcocokan, maka Anda sebaiknya curiga terhadap email tersebut.

Anda masih dapat melihat informasi ini di halaman Tampilan Sumber dari email. Di bawah ini adalah contoh baris Received pertama di mana penyedia saya menerima email:

Received: from a74-66.smtp-out.amazonses.com (a74-66.smtp-out.amazonses.com. [54.240.74.66]) 
by mx.google.com

Contoh ini adalah baris yang ditulis Google, bukan yang ditambahkan oleh pengirim. Ini hanya memberi tahu saya bahwa Google menerima email dari IP 54.240.74.66 di smtp-out.amazonses.com. Sekarang, agar saya dapat melihat apakah ini masuk akal, saya harus memeriksanya dengan header lain yang terlihat pada pesan tersebut.

Untuk pesan khusus ini, pengirim yang terlihat di header adalah noreply@windows.day. Return-Path berada di domain Amazon: amazonses.com. Dari informasi lain yang saya periksa sebelumnya, saya bisa melihat bahwa SPF lolos untuk IP Amazon SES itu, 54.240.74.66, dan DKIM lolos untuk windows.day. Semuanya konsisten. Cukup umum bagi perusahaan untuk mengirim notifikasi menggunakan infrastruktur Amazon SES, jadi keseluruhan gambaran sesuai.

Ketika sebuah email sah, itu mengikuti jejak perutean yang mencakup:

  1. Layanan pos yang dapat dikenali
  2. Otentikasi yang sesuai dengan server pengirim
  3. Tidak ada penyedia hosting acak dalam rantai (seharusnya platform layanan email yang dikenal)

Email palsu biasanya akan meninggalkan jejak di mana penyedia Anda menerima pesan dari VPS yang tidak terkait, domain yang aneh, atau IP yang tidak terkait dengan pengirim yang diklaim.

Meskipun semua hal ini umumnya berlaku, perlu dicatat bahwa serangan yang lebih canggih juga dapat melalui akun sah yang disusupi atau layanan cloud yang terkenal, sehingga ketiadaan tanda bahaya ini tidak menjamin 100% keaslian.

Anomali Message-ID dan amplop mengungkap phishing massal atau malas

Detail infrastruktur jarang cocok dengan merek yang sedang ditiru

Field Message-ID adalah header penting lainnya yang tidak boleh diabaikan. Ini adalah elemen pertama yang Anda lihat di halaman Tampilan Sumber. Ini adalah ID unik secara global yang dihasilkan oleh server pengirim pesan. Biasanya, ini muncul dalam bentuk string panjang yang diakhiri dengan komponen @domain. Anda harus memperhatikan domain ini.

Anda harus mengharapkan bahwa sebuah pesan yang berasal dari amazon.com seharusnya memiliki Message-ID yang diakhiri dengan domain Amazon. Selain Amazon, itu adalah tanda bahaya jika Anda mendapatkan sesuatu seperti @cheapmailer.hosting123.net; jangan mengabaikannya.

Namun, ada beberapa petunjuk Message-ID lain yang menunjukkan bahwa sebuah pesan tidak asli:

  1. Sepenuhnya tidak ada Message-ID.
  2. Format Message-ID yang identik di berbagai email phishing yang tidak terkait.
  3. Header X-Mailer yang usang atau aneh.
  4. Sebuah X-Originating-IP yang terekspos yang mengarah ke kisaran hosting residential atau biaya rendah.

Alasan mengapa Message-ID adalah alat yang kuat untuk mendeteksi email penipuan adalah bahwa, meskipun penyerang yang canggih mungkin membersihkannya, operasi phishing massal sering memprioritaskan kuantitas daripada kehalusan.

Message-ID adalah salah satu header yang paling mudah dipalsukan oleh penyerang, jadi Message-ID yang meyakinkan tidak boleh dianggap sebagai bukti keaslian; nilainya hampir sepenuhnya berguna untuk menangkap kampanye phishing yang malas atau otomatis yang tidak repot untuk mengaturnya dengan benar.

Menyatukan ketiga judul

Penyebut umum dari ketiga judul yang telah saya jelaskan adalah bahwa semuanya terkait dengan bagaimana sebuah pesan diangkut. Mereka tidak mempertimbangkan bagaimana pesan tersebut disajikan. Namun, unsur transportasi sangat penting karena penyajian dapat digandakan jauh lebih mudah. Selain itu, unsur transportasi meninggalkan sisa yang berfungsi sebagai penanda untuk mendeteksi keaslian.

Tentu saja, jika Anda menerima terlalu banyak spam, bijaksana untuk mengambil langkah-langkah praktis untuk menguranginya, karena semakin banyak spam yang ada, semakin besar kemungkinan sesuatu bisa terlewat.

Artikel terkait