Спуфинг

Спуфинг (от английского spoof — подмена, обман, подделка) — это техника фальсификации электронных данных, используется злоумышленниками для маскировки информации о себе. Например, они подделывают электронные адреса отправителей и другие параметры почты, чтобы скрыть истинное происхождение емейла. Spoofed emails рассылаются для кражи личной или корпоративной информации, распространения вредоносных вложений и других атак.

Спуфинг — что это

Спуфинг — это тип кибератаки, когда некто за счёт техник фальсификации данных изменяет информацию о себе: маскируется под другого человека или организацию, меняет местоположение либо передаёт другие поддельные сведения в компьютерную сеть. В отдельных случаях может быть безобидным, но чаще используется мошенниками для получения доступа к системам, перехвата личной информации жертвы или причинения ей другого вреда.

Виды спуфинга

• Еmail spoofing. Позволяет подделать истинный адрес отправителя письма и создать видимость, что оно пришло от другого лица. В поле «От кого» получатель такого сообщения увидит имя надёжного отправителя, хотя на самом деле им будет мошенник.

  

  Отправитель притворяется известным магазином, но его адрес не имеет отношения к «М.Видео» — на страницу с промокодом переходить не стоит
• IP address spoofing — искажение IP-адресов в пакетах данных, которые передаются целевому серверу. Используется, чтобы скрыть истинное местонахождение злоумышленника в интернете.
• DNS spoofing — подмена доменного имени (заполнение DNS-кеша поддельными данными) для перенаправления пользователя на ложный сайт. Целями таких атак могут быть получение персональной информации или распространение вирусов.
• ARP spoofing — перехват и подмена данных, передаваемых между двумя устройствами.
• Caller ID spoofing — подмена номера телефона. При входящем вызове на дисплее будет отображаться не тот номер, с которого на самом деле поступает звонок.
• GPS/GNSS spoofing — передача обманного сигнала GPS-приёмнику. Применяется для корректировки данных о фактическом местонахождении объекта в нужную злоумышленнику сторону.
• Geolocation spoofing — подмена геолокации, заставляющая сеть считать, что устройство пользователя находится в другой стране. Пример — использование VPN-сервисов.

Зачем спуфинг используется в емейл-маркетинге

Эта техника иногда применяется без злого умысла. Например, клиентам отвечают
и внутренние сотрудники, и внешние специалисты, но по правилам компании все письма должны приходить с общего корпоративного адреса. Поэтому адреса внешних подрядчиков изменяют на адрес компании.

Но чаще это один из способов ведения недобросовестного емейл-маркетинга, который используется для:

• маскировки под легитимных отправителей, чтобы обойти спам-фильтры и избежать блокировки IP и доменов, с которых рассылался спам;
• фишинга, если стоит цель похитить персональные данные пользователей;
• борьбы с конкурентами: если отправить спам или заражённое письмо от имени бренда, можно подорвать его репутацию.

Важно помнить, что это обман пользователей и к качественному емейл-маркетингу отношения не имеет.

Влияние на репутацию отправителя

Атаки злоумышленников, которые направлены на компанию или совершаются от её лица, вредят бизнесу сразу по нескольким пунктам:

• Приводят к блокировкам IP и доменов. После рассылки спама эти IP-адреса попадают в чёрные списки.
• Снижают доставляемость. Из-за испорченной репутации отправителя фильтры блокируют легитимные письма. Массовые блокировки и низкая доставляемость приводят к денежным потерям.
• Портят имидж бренда. Если злоумышленники рассылали спам, фишинговые письма и вирусы от имени какой-либо компании, это подорвёт доверие клиентов. Другая цель атак на бизнес — распространять ПО для кражи внутренних и клиентских данных. Утечка тоже негативно скажется на репутации бренда.

Как защититься от спуфинга

Снизить риск атак на компанию можно с помощью технических предосторожностей и обучения сотрудников распознавать поддельные рассылки.

Технические меры

• Настройте протоколы емейл-аутентификации SPF, DKIM и DMARC. Эти механизмы защищают компанию от нелегального использования имени её домена

  

  Схема использования политики DMARC
• Регулярно обновляйте список заблокированных IP в спам-фильтрах. Отслеживать известные источники спуфинговых рассылок можно с помощью блеклистов.
• Используйте уникальные сложные пароли для почтовых ящиков, применяйте двухфакторную аутентификацию. Это затруднит взлом и рассылку от имени компании.

Обучение сотрудников

Прежде всего сотрудники должны понимать, чем спуфинг грозит репутации компании. Чтобы подготовиться к возможным атакам, включите в программу обучения следующие пункты:

• Правила информационной безопасности. Научите команду использовать сложные пароли и регулярно их менять, настраивать спам-фильтр, не открывать подозрительные емейлы и вложения, не сообщать личную информацию по электронной почте.
• Распознавание подозрительной активности. Сотрудники должны знать алгоритм действий при необычных запросах на доступ к ресурсам или чужих попытках войти в систему с неверными учётными данными.

• Характерные признаки спуфинга. Можно организовать тренинг со специалистами по кибербезопасности. Они расскажут сотрудникам о новых тактиках злоумышленников и научат выявлять признаки подменных емейлов — например, правильно читать метаданные из заголовка письма.

В метаданных можно найти, кем, кому и с какого IP-адреса отправлено письмо, дату создания и другую информацию

Заголовок письма от EMAILMATRIX: поля SPF, DKIM и DMARC подтверждают, что всё в порядке

А это письмо от мошенника — обращаем внимание на значения NONE и FAIL

Spoofed emails: признаки

• В рассылках известных брендов почтовый домен повторяет название компании. Например, @mvideo.ru, @goldapple.ru, @skillbox.ru. Если после @ стоит общий адрес (skillbox@mail.ru) либо название компании искажено (@skillbox1-1-1.ru), то такое письмо — подделка.
• Как правило, мошенники не персонифицируют емейлы: обращения типа «уважаемый клиент» или «дорогой друг» должны настораживать.
• Перед кликом по ссылке в письме следует навести на неё курсор и внимательно посмотреть на URL-адрес — он отобразится в левом нижнем углу браузера. Если вместо защищённого протокола связи «https» указан «http», по ссылке лучше не переходить. Чтобы проверить, ведёт ли ссылка на официальный сайт, можно сначала найти его в интернете и сравнить.

Термины с пояснениями

• IP-адрес — уникальный номер, присваиваемый каждому компьютеру
  в интернете; используется для идентификации и маршрутизации сетевого трафика.
• SPF — протокол проверки отправителей электронных писем, помогает выявить подделку адреса и заблокировать фальшивый.
• DKIM — технология электронной подписи емейлов, гарантирует подлинность отправителя.
• DMARC — механизм проверки SPF и DKIM писем для подтверждения аутентификации.
• Спам — массовая нежелательная рассылка рекламы или вирусов.
• Фишинг — интернет-мошенничество с целью кражи личных данных под видом доверенных компаний; разновидность спама, может быть целью спуфинг-атак.

Заключение

Спуфинг — это вид интернет-мошенничества, при котором злоумышленники маскируются под других людей или организации, чтобы обмануть пользователей. Часто используется в фишинговых атаках и рассылке спама. Атаки от имени компании могут серьёзно навредить её репутации и привести к финансовым потерям. Поэтому важно соблюдать технические меры по защите и обучать сотрудников основам информационной безопасности.