Email Spoofing: Τι είναι, πώς λειτουργεί και πώς προστατευόμαστε

Το email είναι βασικό εργαλείο επικοινωνίας για επιχειρήσεις και ιδιώτες, αλλά αποτελεί και συχνό μέσο εξαπάτησης. Μία από τις τεχνικές που χρησιμοποιούνται είναι το email spoofing, δηλαδή η πλαστογράφηση της ταυτότητας του αποστολέα.

Ένα πλαστογραφημένο email μπορεί να φαίνεται ότι προέρχεται από τράπεζα, συνεργάτη, προμηθευτή ή διευθυντή. Στόχος είναι να δημιουργηθεί εμπιστοσύνη και να οδηγηθεί ο παραλήπτης σε ενέργεια, όπως άνοιγμα συνδέσμου, αποκάλυψη κωδικών ή πληρωμή.

Τι είναι το email spoofing;

Email spoofing ονομάζεται η τεχνική κατά την οποία παραποιούνται στοιχεία ενός email ώστε το μήνυμα να εμφανίζεται σαν να έχει σταλεί από διαφορετικό αποστολέα. Το πεδίο From που βλέπει ο παραλήπτης δεν αποτελεί από μόνο του απόδειξη ότι το μήνυμα προήλθε πραγματικά από τη συγκεκριμένη διεύθυνση.

Σήμερα χρησιμοποιούνται μηχανισμοί αυθεντικοποίησης όπως SPF, DKIM και DMARC, ώστε οι mail servers να ελέγχουν εάν ένα μήνυμα είναι εξουσιοδοτημένο να αποστέλλεται για λογαριασμό ενός domain. Η Microsoft επισημαίνει ότι οι συγκεκριμένοι μηχανισμοί πρέπει να λειτουργούν συνδυαστικά για αποτελεσματικό email authentication.

Email spoofing και phishing: ποια είναι η διαφορά;

Οι δύο όροι συνδέονται, αλλά δεν σημαίνουν το ίδιο πράγμα.

Το phishing είναι μορφή κοινωνικής μηχανικής με στόχο να εξαπατήσει τον χρήστη ώστε να αποκαλύψει πληροφορίες ή να εκτελέσει επικίνδυνη ενέργεια. Το email spoofing είναι τεχνική πλαστογράφησης της ταυτότητας του αποστολέα.

Ένα phishing email μπορεί να χρησιμοποιεί spoofing, αλλά δεν είναι απαραίτητο. Αντίστοιχα, ένα spoofed email χρησιμοποιείται συχνά σε phishing επιθέσεις επειδή φαίνεται πιο αξιόπιστο όταν εμφανίζεται ότι προέρχεται από γνωστό πρόσωπο ή οργανισμό.

Πώς λειτουργεί το email spoofing;

Κάθε email περιλαμβάνει περισσότερες πληροφορίες από όσες βλέπουμε στην εφαρμογή μας. Στα email headers υπάρχουν δεδομένα για τον αποστολέα, τους servers που διαχειρίστηκαν το μήνυμα και τους ελέγχους αυθεντικοποίησης.

Ο χρήστης βλέπει κυρίως ένα όνομα και μια διεύθυνση. Ένας επιτιθέμενος μπορεί να κάνει αυτό το στοιχείο να μοιάζει νόμιμο, ενώ η πραγματική προέλευση είναι διαφορετική.

Τα σύγχρονα συστήματα email χρησιμοποιούν μηχανισμούς ελέγχου για να εντοπίζουν τέτοιες περιπτώσεις, όμως η αποτελεσματικότητά τους εξαρτάται και από τη σωστή παραμετροποίηση του domain του αποστολέα.

Οι συνηθέστερες μορφές email spoofing

1. Display Name Spoofing

Ο επιτιθέμενος χρησιμοποιεί το πραγματικό όνομα ενός προσώπου ή μιας εταιρείας, αλλά διαφορετική διεύθυνση email.

Παράδειγμα:

«Λογιστήριο Εταιρείας accounting-example@gmail.com»

Ο παραλήπτης μπορεί να προσέξει μόνο το όνομα «Λογιστήριο Εταιρείας» και όχι ότι η πραγματική διεύθυνση δεν ανήκει στο εταιρικό domain.

2. Domain Spoofing

Στο domain spoofing το μήνυμα επιχειρεί να εμφανιστεί σαν να προέρχεται από το πραγματικό domain ενός οργανισμού.

Η σωστή εφαρμογή SPF, DKIM και DMARC βοηθά τους mail servers να εντοπίζουν μη εξουσιοδοτημένες αποστολές. Η Google αναφέρει επίσης ότι η αυθεντικοποίηση email συμβάλλει στην προστασία τόσο των παραληπτών από spoofing και phishing όσο και των οργανισμών από impersonation.

3. Lookalike Domains

Εδώ χρησιμοποιείται διαφορετικό domain που μοιάζει οπτικά με το αυθεντικό.

Για παράδειγμα:

company.gr
cornpany.gr

Με μια γρήγορη ματιά, η διαφορά μπορεί να περάσει απαρατήρητη. Η τεχνική αυτή είναι ιδιαίτερα επικίνδυνη όταν συνδυάζεται με το πραγματικό λογότυπο, το όνομα και την υπογραφή μιας εταιρείας.

4. Reply-To Spoofing

Το εμφανές From μπορεί να μοιάζει νόμιμο, αλλά το πεδίο Reply-To οδηγεί τις απαντήσεις σε διαφορετική διεύθυνση. Έτσι ο δράστης μπορεί να συνεχίσει τη συνομιλία εκτός του πραγματικού εταιρικού λογαριασμού.

5. Business Email Compromise

Σε επιθέσεις Business Email Compromise – BEC, ο δράστης προσπαθεί να παρουσιαστεί ως στέλεχος, προμηθευτής ή συνεργάτης και να ζητήσει μεταφορά χρημάτων, αλλαγή τραπεζικού λογαριασμού ή αποστολή εμπιστευτικών πληροφοριών.

Το spoofing ή η χρήση παρόμοιου domain μπορεί να αποτελεί μέρος μιας τέτοιας επίθεσης.

Παράδειγμα email spoofing

Ένας εργαζόμενος λαμβάνει:

Από: Οικονομικός Διευθυντής
Θέμα: Επείγουσα πληρωμή

«Χρειάζομαι να πραγματοποιηθεί σήμερα μεταφορά 4.800 ευρώ στον νέο λογαριασμό του προμηθευτή. Είναι επείγον. Μόλις ολοκληρωθεί, στείλε μου το αποδεικτικό.»

Το μήνυμα χρησιμοποιεί πίεση χρόνου, οικονομικό αίτημα και το όνομα ενός ανώτερου στελέχους.

Αν ο εργαζόμενος ελέγξει προσεκτικά τη διεύθυνση ή επιβεβαιώσει τηλεφωνικά το αίτημα, μπορεί να εντοπίσει την απάτη πριν πραγματοποιηθεί η συναλλαγή.

Πώς αναγνωρίζουμε ένα ύποπτο email;

Δεν υπάρχει ένα μοναδικό σημάδι που αποδεικνύει ότι ένα μήνυμα είναι πλαστογραφημένο. Υπάρχουν όμως αρκετές ενδείξεις που πρέπει να αυξήσουν την προσοχή μας:

• Το όνομα είναι γνωστό, αλλά η διεύθυνση email είναι διαφορετική.
• Το domain περιέχει μικρές ορθογραφικές αλλαγές.
• Το Reply-To διαφέρει από το From.
• Το μήνυμα δημιουργεί υπερβολική αίσθηση επείγοντος.
• Ζητείται αλλαγή IBAN ή τραπεζικού λογαριασμού.
• Ζητούνται κωδικοί πρόσβασης ή προσωπικά δεδομένα.
• Οι σύνδεσμοι οδηγούν σε διαφορετικό domain.
• Ζητείται παράκαμψη της κανονικής διαδικασίας έγκρισης.

Σε επιχειρηματικό περιβάλλον, αλλαγές οικονομικών στοιχείων είναι καλό να επιβεβαιώνονται και μέσω δεύτερου, ανεξάρτητου καναλιού επικοινωνίας.

Τι είναι το SPF;

Το SPF – Sender Policy Framework επιτρέπει στον ιδιοκτήτη ενός domain να δηλώσει μέσω DNS ποιοι mail servers είναι εξουσιοδοτημένοι να στέλνουν email για το domain του.

Όταν ένας receiving server παραλάβει μήνυμα, μπορεί να ελέγξει αν η πηγή αποστολής συμφωνεί με την πολιτική SPF.

Το SPF είναι σημαντικό, αλλά δεν αποτελεί από μόνο του πλήρη λύση απέναντι στο email spoofing. Η Microsoft αναφέρει συγκεκριμένα ότι το SPF μόνο του δεν επαρκεί για την αποτροπή spoofing ενός Microsoft 365 domain.

Τι είναι το DKIM;

Το DKIM – DomainKeys Identified Mail προσθέτει κρυπτογραφική υπογραφή στα εξερχόμενα email.

Ο παραλήπτης μπορεί να επαληθεύσει την υπογραφή χρησιμοποιώντας δημόσιο κλειδί που δημοσιεύεται στο DNS του domain.

Έτσι μπορεί να ελεγχθεί ότι το μήνυμα έχει υπογραφεί από εξουσιοδοτημένο σύστημα και ότι τα υπογεγραμμένα στοιχεία του δεν αλλοιώθηκαν κατά τη μεταφορά.

Τι είναι το DMARC;

Το DMARC – Domain-based Message Authentication, Reporting and Conformance λειτουργεί σε συνδυασμό με SPF και DKIM.

Επιτρέπει στον ιδιοκτήτη ενός domain να ορίσει πώς πρέπει να αντιμετωπίζονται μηνύματα που αποτυγχάνουν στους σχετικούς ελέγχους και παρέχει δυνατότητα αναφορών.

Οι βασικές πολιτικές είναι:

p=none: παρακολούθηση.

p=quarantine: τα ύποπτα μηνύματα μπορούν να οδηγούνται σε spam ή καραντίνα.

p=reject: ζητείται η απόρριψη μηνυμάτων που αποτυγχάνουν στον DMARC έλεγχο.

Η εφαρμογή DMARC χρειάζεται προσοχή, επειδή μια λανθασμένη ρύθμιση μπορεί να επηρεάσει νόμιμες υπηρεσίες που στέλνουν email για λογαριασμό μιας εταιρείας. Η CISA συνιστά επίσης τη χρήση SPF, DKIM και DMARC ως μέρος της ενίσχυσης της ασφάλειας email.

Γιατί χρειάζονται SPF, DKIM και DMARC μαζί;

Οι τρεις τεχνολογίες καλύπτουν διαφορετικά σημεία.

Το SPF ελέγχει εξουσιοδοτημένες πηγές αποστολής, το DKIM προσφέρει επαληθεύσιμη υπογραφή και το DMARC συνδέει τους ελέγχους με το domain που εμφανίζεται στον χρήστη και εφαρμόζει συγκεκριμένη πολιτική.

Για αυτό μια ολοκληρωμένη στρατηγική προστασίας δεν πρέπει να βασίζεται μόνο σε έναν μηχανισμό.

Πώς προστατεύεται ένας απλός χρήστης;

Ελέγξτε ολόκληρη τη διεύθυνση του αποστολέα και όχι μόνο το εμφανιζόμενο όνομα. Μην ανοίγετε links ή αρχεία επειδή ένα email φαίνεται επείγον.

Για οικονομικά αιτήματα, αλλαγές λογαριασμών και αποστολή ευαίσθητων δεδομένων, επιβεβαιώστε το αίτημα μέσω τηλεφώνου ή άλλου γνωστού καναλιού.

Αν ένα email σας ζητά να συνδεθείτε σε υπηρεσία, είναι προτιμότερο να ανοίξετε μόνοι σας τον επίσημο ιστότοπο αντί να ακολουθήσετε τον σύνδεσμο του μηνύματος.

Πώς προστατεύεται μια επιχείρηση;

Η προστασία από email spoofing χρειάζεται συνδυασμό τεχνολογίας, διαδικασιών και εκπαίδευσης προσωπικού.

Μια επιχείρηση πρέπει να ρυθμίζει σωστά SPF, DKIM και DMARC, να χρησιμοποιεί anti-phishing φίλτρα, πολυπαραγοντικό έλεγχο ταυτότητας και να εκπαιδεύει το προσωπικό στην αναγνώριση ύποπτων μηνυμάτων.

Εξίσου σημαντικές είναι οι εσωτερικές διαδικασίες. Αλλαγή IBAN προμηθευτή ή ασυνήθιστη πληρωμή δεν πρέπει να ολοκληρώνεται αποκλειστικά βάσει ενός email.

Τι κάνουμε αν λάβουμε spoofed email;

Μην απαντήσετε και μην ανοίξετε ύποπτα links ή attachments. Αναφέρετέ το ως phishing ή spam και ενημερώστε το IT τμήμα εάν βρίσκεστε σε εταιρικό περιβάλλον.

Αν έχετε ήδη καταχωρίσει κωδικό πρόσβασης σε ύποπτη σελίδα, αλλάξτε τον άμεσα από την επίσημη υπηρεσία και ελέγξτε τις ενεργές συνδέσεις.

Αν έχει πραγματοποιηθεί οικονομική συναλλαγή, επικοινωνήστε άμεσα με την τράπεζα και ακολουθήστε τις προβλεπόμενες διαδικασίες αναφοράς περιστατικού.

Συχνές ερωτήσεις για το email spoofing

Μπορεί κάποιος να στείλει email που φαίνεται ότι προέρχεται από εμένα;

Ναι, μπορεί να επιχειρήσει να πλαστογραφήσει τη διεύθυνση ή το όνομά σας χωρίς αυτό να σημαίνει απαραίτητα ότι απέκτησε πρόσβαση στον λογαριασμό σας.

Αν όμως υπάρχουν άγνωστες συνδέσεις ή μηνύματα στα απεσταλμένα, απαιτείται άμεσος έλεγχος του λογαριασμού.

Αρκεί το SPF για προστασία;

Όχι. Για ισχυρότερη αυθεντικοποίηση χρησιμοποιούνται συνδυαστικά SPF, DKIM και DMARC.

Είναι spoofing κάθε email από παρόμοιο domain;

Όχι. Ένα lookalike domain είναι διαφορετικό domain που έχει σχεδιαστεί ώστε να μοιάζει με το πραγματικό. Το αποτέλεσμα μπορεί να είναι παρόμοιο για τον χρήστη, αλλά τεχνικά δεν είναι πάντα πλαστογράφηση του ίδιου domain.

Συμπέρασμα

Το email spoofing εκμεταλλεύεται κυρίως την εμπιστοσύνη που δείχνουμε στο όνομα και στη διεύθυνση ενός αποστολέα. Η αντιμετώπισή του χρειάζεται δύο επίπεδα προστασίας: τεχνική αυθεντικοποίηση των email domains και σωστή συμπεριφορά των χρηστών.

SPF, DKIM και DMARC μπορούν να περιορίσουν την κατάχρηση ενός εταιρικού domain, ενώ ο έλεγχος του αποστολέα, η επιβεβαίωση ασυνήθιστων αιτημάτων και η εκπαίδευση του προσωπικού παραμένουν βασικά βήματα για ασφαλέστερη χρήση του email.