E-posta sahtekarlığı geçmişte kaldı

Kraken, herhangi bir popüler hizmet gibi, dolandırıcıların hedef aldığı müşterilere sahiptir. denemek @kraken.com e-posta adreslerinden kimlik avı e-postaları göndermek için. Bu tür sahte e-postaları hiçbir zaman görmemelisiniz çünkü Gmail gibi posta sağlayıcıları tarafından reddedilmelidir çünkü sunucuları, dolandırıcının postasının Kraken'den gelmediğini fark edecektir. Perde arkasında, kabul eden posta sunucusunun, e-postanın doğru yerden geldiğini doğrulamak için ortak DNS kayıtlarını (yani SPF, DKIM, DMARC kayıtları) araması gerekir. 

Kraken Security Labs "güven ama doğrula" ilkesine inanır ve Kraken'in e-posta güvenlik kontrollerinin etkinliğini düzenli olarak test eder. Bu testlerden biri sırasında birden fazla posta sağlayıcının basit kontroller yapmadığını ve bu nedenle kullanıcılarını (ve potansiyel olarak müşterilerimizi) kimlik avı riskine soktuğunu keşfettik: Özellikle yahoo.com ve aol.com kullanıcıları e-posta teslim etme riskiyle karşı karşıyaydı gibi popüler yerlerin var olmayan alt alanlarından gelen kutularına admin@verylegitemails.verizon.com.

Kraken Security Labs, bu sorunu 8 Ekim 2020'de Verizon Media'ya (aol.com ve yahoo.com'un sahibi) bildirdi. Maalesef sorun düşük önem derecesi olarak sınıflandırıldı ve gönderimimiz düşük etki nedeniyle kapatıldı. Ancak o zamandan bu yana, her iki e-posta sisteminde de aşağıda açıklanan sorunlardan bazılarını çözen iyileştirmeler yapılmış gibi görünüyor.

Kendinizi her zaman koruyabilirsiniz Kimlik avı dolandırıcılıklarına karşı tetikte olmak. Şu anda aol.com veya yahoo.com kullanıyorsanız e-posta hizmetinizi gmail.com veya protonmail.com olarak değiştirmeyi de düşünmelisiniz. Kendi alanınızı işletiyorsanız dolandırıcıların alanınızı kullanma olasılığını sınırlamak için DMARC, SPF ve DKIM kayıtlarınızın güncel olduğundan emin olun.

At Kraken Güvenlik Laboratuvarları, misyonumuz eğitmek ve güçlendirmek Kripto para birimi sahiplerine, varlıklarını korumak ve fonlarını uygun gördükleri şekilde güvenli bir şekilde kullanmak için ihtiyaç duydukları bilgiye sahip olmak. Bu makalede, bu e-posta sahtekarlığı tekniği hakkında daha fazla teknik ayrıntıyı, alan adlarımızı nasıl koruduğumuzu ve güvenliğinizi sağlamak için hangi adımları atabileceğinizi öğreneceksiniz.

Teknik detaylar

Sahtecilik, yalnızca on yıl önce yaygın bir saldırı biçimiydi. E-posta sunucularının gönderenleri doğrulamanın etkili bir yolu yoktu. Sahte göndereni olan postaların başarı oranı daha yüksektir, çünkü birçok kullanıcı bu alanın sahte olabileceğinin farkında değildir. Tanınabilir bir alan adından (mail@kraken.com gibi) gelen bir mesaj, özellikle aşağıdaki gibi tanıdık olmayan bir adresle karşılaştırıldığında, otorite ve güvenlik yanılsaması yaratabilir. mail@example-garip-alan.xyz. Neyse ki günümüzde çoğu posta sağlayıcısı sahteciliğe karşı önemli kontrollere sahiptir. DMARC gibi standartlar, kimlik sahtekarlığını çok daha zorlaştıracak teknikleri resmileştirdi.

Postanın Güvenliğini Sağlama

E-posta güvenliği burada ele alacağımızdan daha karmaşıktır ancak sahteciliği önlemeye yönelik mevcut en iyi uygulamalar SPF, DMARC ve DKIM kayıtlarına odaklanmaktadır. Bir posta sunucusu posta aldığında, bu kayıtları kontrol etmek için postanın etki alanında birkaç DNS araması yapar.

Her e-posta sunucusu bu kontrolleri farklı şekilde gerçekleştirir. Örneğin, Gmail, SPF kontrollerini geçemeyen tüm postaları, kullanıcıları dikkatli olmaya teşvik eden korkutucu görünümlü bir uyarı başlığıyla etiketler (bu mesajların teknik olarak posta sunucusu tarafından hiçbir zaman kabul edilmemesi gerekirken) ve DMARC kontrollerini geçemeyen tüm e-postaları, “Reddetme” politikası kesinlikle kabul edilmeyecektir.

Diğer posta sağlayıcılarının, her biri kendi özel algoritmasına sahip, önemli ölçüde farklı prosedürleri olabilir. Örneğin, bazı sağlayıcılar e-postaları tamamen engellemeyi tercih ediyor, diğerleri "istenmeyen" gelen kutusuna, bazıları ise uyarı içeren e-postaları gelen kutusuna gönderiyor.

Ücretsiz Posta Sağlayıcılarıyla Denemeler Yapmak

Farklı sağlayıcılar arasındaki tutarsız yaptırımlar bizi endişelendiriyor, bu nedenle biraz daha test yaptık. Kilitli bir alan adı için en iyi ücretsiz e-posta sağlayıcılarına sahte e-postalar göndermeye çalıştık ve onların davranışlarını izledik.

Deneme 1 – Sahtecilik admin@kraken.com (güvenli bir temel alan adı)

Geçerli bir arıza SPF kaydına, geçerli bir DMARC kaydına ve yapılandırılmış bir DKIM seçiciye sahip bir alan adından sahte bir e-posta gönderdik.

Beklenti: Posta, izin verilen bir IP adresinden gelmediği ve DKIM imzası olmadığı için reddediliyor.

Burada büyük bir sürpriz yok, ancak önemsiz veya spam'e mesaj göndermek, kullanıcıların bunun bir hata olduğunu düşünmeleri durumunda teorik olarak kandırılabilecekleri anlamına geliyor.

Deneme 2 – Sahtecilik admin@fakedomain.kraken.com (Varolmayan bir Alt Alan Adı)

Var olmayan bir alt alan adından sahte bir e-posta gönderdik. Bu ana bilgisayar adı için herhangi bir türde kayıt yok.

Beklenti: Ana makine adı mevcut olmadığından veya herhangi bir kayda sahip olmadığından (A kaydı yok, SPF veya DKIM kaydı yok) posta reddediliyor. Ayrıca DMARC politikası "reddet" olarak ayarlanmıştır ve bu nedenle SPF/DKIM tarafından kimliği doğrulanamayan tüm e-postaların reddedilmesi gerekir.

Şaşırtıcı bir şekilde, Yahoo.com ve AOL.com posta sunucuları bu bariz sahtekarlık mesajını kabul etti ve kurbanın gelen kutusuna koydu. Bu özellikle endişe vericidir, çünkü bu, bir saldırganın postalarının kabul edilmesi ve bu platformların kullanıcıları için meşru görünmesi için bir alt alan adı eklemesi gerektiği anlamına gelir (örn. admin@emails.chase.com).

AOL.com ve Yahoo.com o zamanlar Verizon Media'ya ait olduğundan bu sorunu 8 Ekim 2020'de onlara bildirdik. Verizon Media, konuyu kapsam dışı ve gayri resmi olduğu için kapattı. Kraken Güvenlik Laboratuvarları, AOL ve Yahoo kullanıcılarını kimlik avına karşı korumanın önemini yineledi ancak bu sorunların düzeltilmesine ilişkin başka bir iletişim sağlanmadı.

O zamandan bu yana iyileştirmeler yapılmış gibi görünüyor: E-postalar artık DMARC politikasına uygun olarak reddediliyor ve daha iyi bir hız sınırlaması uygulanıyor gibi görünüyor.

Biz hala Yahoo ve Verizon e-posta kullanıcılarının daha yüksek risk altında olduğunu savunuyoruz, çünkü diğer sağlayıcılar, e-postaların kimlik doğrulaması yapılamadığında (hiç DMARC/DKIM/SPF kullanılmadığında olduğu gibi) kullanıcılarına yönelik önemli ölçüde daha iyi uyarılar veriyor.

Takeaways

Etki alanı sahibinin tüm çabalarına rağmen, e-posta sağlayıcıları e-postaları her zaman beklendiği gibi filtrelemez. @yahoo.com ve @aol.com e-posta adreslerine sahip kullanıcılar, bu iletilerin bu sağlayıcılar tarafından kolaylıkla tespit edilip filtrelenebilmesine rağmen, sahte ileti alma riski daha yüksekti. Davranışlar iyileşse de, yüksek hassasiyetli e-postanızı Gmail veya Protonmail gibi daha iyi filtreleme yapan bir sağlayıcıya geçirmenizi öneririz.

Bir e-posta sunucusu çalıştırıyorsanız DMARC, DKIM ve SPF için e-posta DNS kayıtlarınızın her zaman güncel olduğundan emin olun ve e-posta kontrollerinizin çalışıp çalışmadığını düzenli olarak doğrulayın.

Kaynak: https://blog.kraken.com/post/10480/email-spoofing-is-not-a-thing-of-the-past/