Главная мысль
Внедряйте аутентификацию домена отправителя поэтапно, а переводы денег и смену реквизитов подтверждайте по независимому каналу.
Подмена отправителя и мошенничество в деловой переписке
Имя и адрес в поле From могут выглядеть знакомо, но сами по себе не подтверждают личность отправителя. При подмене фальсифицируют отображаемое имя или адрес отправителя; BEC также может использовать захваченный настоящий аккаунт или вмешательство в существующую переписку. Мошенничество от имени руководителя или поставщика часто содержит срочную конфиденциальную просьбу о деньгах или данных. Ошибки, давление и незнакомая ссылка — повод насторожиться, но грамотный текст и знакомая подпись тоже не доказывают безопасность.
Мошенничество от имени руководителя
От имени руководителя просят срочный перевод, подарочные карты или конфиденциальные данные.
Взломанный деловой аккаунт
Письмо может прийти с настоящего аккаунта; проверка домена сама по себе не выявляет его захват.
Изменение реквизитов поставщика
При смене банковских реквизитов перепроверьте их по заранее известному телефону.
Что делают SPF, DKIM и DMARC
SPF публикует в DNS, каким узлам разрешено использовать домен в SMTP-идентификаторах MAIL FROM и HELO/EHLO. DKIM подписывает выбранные части письма ключом домена. DMARC проверяет соответствие видимого домена From домену успешно пройденной проверки SPF или DKIM; достаточно одной успешной проверки с таким соответствием. Владелец домена может задать политику обработки и получать отчёты. Эти проверки сами по себе не останавливают подмену отображаемого имени, похожие домены, захват настоящего ящика или социальную инженерию. Инвентаризируйте все легитимные сервисы отправки, тестируйте DNS-записи и изучайте отчёты. Вводите reject только после проверки соответствия доменов и исправления настройки законных отправителей.
| Механизм | Основная цель | Ограничение |
|---|---|---|
| SPF | Право узла использовать домен в SMTP MAIL FROM или HELO/EHLO | Пересылка и сторонние отправители требуют отдельной настройки |
| DKIM | Подписанные части письма и ключ домена | Подписанный домен может отличаться от видимого From |
| DMARC | Соответствие From идентификаторам SPF/DKIM и политика | Не проверяет безопасность содержания и личность отправителя |
Secure Email Gateway — один уровень защиты
Почтовый шлюз может проверять репутацию, спам, вредоносные программы, ссылки и вложения на входе или выходе почтовой системы; конкретные функции зависят от продукта и конфигурации. Проверка подозрительных файлов, карантин писем с опасными ссылками и оценка аутентификации отправителя полезны, но шлюз не всегда блокирует захват аккаунта, смену реквизитов поставщика или новый поддельный домен. Дополните его MFA, аудитом ящиков, мониторингом правил пересылки, кнопкой сообщения о фишинге, резервными копиями и процедурой подтверждения операций.
Подтверждайте платежи вне email
Требуйте второе подтверждение для нового получателя, смены банковских реквизитов, конфиденциального обмена файлами и срочного поручения руководителя. Позвоните по номеру из уже проверенной записи или используйте отдельную утверждённую систему; не полагайтесь на номер и ссылку из самого письма. Скриншот и отображаемое имя не являются подтверждением. Если возможно, применяйте двойное согласование, лимиты, задержку и правила отзыва в финансовой системе. Подозрительное письмо передавайте через установленный канал сообщения об инциденте, чтобы сохранить заголовки и доказательства.
Остановитесь
Отложите платеж или передачу данных до проверки запроса.
Выберите независимый канал
Используйте известный номер, проверенный портал поставщика или внутренний процесс согласования.
Сообщите об инциденте
Передайте письмо команде безопасности. Она должна сохранить заголовки и сведения о правилах пересылки, а при необходимости завершить сессии аккаунта.
Правильно проверяйте заголовки письма
В полных заголовках сопоставляйте цепочку Received, Reply-To, Return-Path и результаты SPF, DKIM и DMARC. В Authentication-Results используйте результаты доверенного принимающего сервера организации: заголовки, добавленные извне, могут быть подделаны. Не ограничивайтесь видимым полем From. Результат pass означает прохождение конкретной проверки доменной аутентификации; он не подтверждает честность отправителя или безопасность содержания. SPF может работать иначе при пересылке, а DKIM может нарушиться после изменения сообщения; оценивайте результаты вместе с соответствием домена From аутентифицированному домену и списком разрешённых отправителей организации. Срочные изменения и платежи всё равно требуют отдельного подтверждения.