Cara Pemalsuan Email Bekerja

Protokol surel inti, SMTP, dirancang pada awal 1980-an untuk jaringan kecil tepercaya yang digunakan para peneliti. Protokol ini tidak memiliki autentikasi bawaan terhadap pengirim.

Asumsi kepercayaan awal itulah yang membuat pemalsuan surel begitu mudah saat ini. Siapa pun yang dapat berkomunikasi dengan server surat menggunakan SMTP dapat mengaku sebagai siapa pun yang mereka inginkan, kecuali perlindungan tambahan (SPF, DKIM, DMARC) diterapkan di atasnya.

Konsep penting: sebuah surel sebenarnya memiliki dua kumpulan alamat, dan keduanya tidak harus sama.

• Amplop (MAIL FROM) — digunakan server surat untuk merutekan dan mengembalikan pesan; pengguna tidak pernah melihatnya
• Tajuk Dari — baris 'Dari:' yang ditampilkan di klien surel

Pemalsuan memanfaatkan celah ini: tajuk Dari yang terlihat dapat berisi apa saja, terlepas dari siapa yang sebenarnya mengirim pesan.

Karena SMTP tidak memverifikasi identitas, penyerang dapat langsung menetapkan tajuk Dari ke alamat tepercaya. Percakapan SMTP mentah terlihat seperti ini:

Surel palsu menjadi dasar berbagai kategori serangan besar:

• Penipuan pengelabuan — memperdaya pengguna agar memasukkan kredensial
• Kompromi Surel Bisnis (BEC) — menyamar sebagai eksekutif untuk mengotorisasi pembayaran palsu
• Distribusi perangkat lunak berbahaya — lampiran yang tampak seolah-olah berasal dari rekan kerja

Pesan yang tampaknya berasal dari CEO Anda atau bank Anda jauh lebih mungkin dipercaya dan ditindaklanjuti.

Pemalsuan domain persis memalsukan tajuk Dari agar menggunakan domain asli Anda, misalnya ceo@yourcompany.com.

Ini adalah bentuk yang paling berbahaya karena alamatnya benar-benar tepat sehingga tidak ada kesalahan ketik yang dapat dicurigai. Tanpa autentikasi surel, server penerima tidak memiliki cara untuk mengetahui bahwa pesan tersebut tidak berasal dari infrastruktur Anda yang sebenarnya.

SPF, DKIM, dan DMARC terutama ada untuk menghentikan pemalsuan domain persis.

Ketika autentikasi memblokir pemalsuan domain persis, penyerang beralih ke domain mirip yang benar-benar mereka miliki dan kendalikan:

Bahkan ketika semua perlindungan telah diterapkan, penyerang menyalahgunakan nama tampilan, yaitu teks yang tampak akrab sebelum alamat.

Banyak klien surel, terutama di perangkat seluler, hanya menampilkan nama tampilan dan menyembunyikan alamat sebenarnya. Jadi, surel dari:

"Acme CEO" <random123@gmail.com>

mungkin hanya ditampilkan sebagai Acme CEO. Alamat tersebut sah untuk Gmail, sehingga autentikasi berhasil, tetapi pengguna tetap tertipu. Ini adalah masalah manusia yang tidak dapat diselesaikan oleh autentikasi.

Untuk menyelidiki pesan yang mencurigakan, periksa tajuk lengkapnya. Tajuk tersebut mencatat jalur yang dilalui pesan dan hasil autentikasinya.

Tajuk Diterima membentuk sebuah rantai. Bacalah dari bawah ke atas untuk melihat setiap server yang dilalui pesan.

Tanda bahaya meliputi:

• Server asal yang bukan milik pengirim yang diklaim
• Ketidakcocokan antara Jalur Pengembalian dan domain Dari
• Geolokasi IP yang mencurigakan atau tidak terduga

Jika digabungkan dengan baris Hasil-Autentikasi, rantai tajuk sering kali segera mengungkapkan pemalsuan.

Tiga standar yang saling melengkapi bekerja sama untuk membuat surel tepercaya. Masing-masing mengatasi celah yang berbeda:

• SPF — mengizinkan server mana yang boleh mengirim surat untuk domain Anda (pengirim amplop)
• DKIM — menandatangani pesan secara kriptografis agar perubahan dan pemalsuan dapat dideteksi
• DMARC — mengaitkan SPF dan DKIM dengan tajuk Dari yang terlihat serta memberi tahu penerima apa yang harus dilakukan jika pemeriksaan gagal

Anda akan mempelajari masing-masing standar tersebut dalam tiga pelajaran berikutnya.

SPF, DKIM, dan DMARC menghentikan pemalsuan domain persis pada domain yang Anda kendalikan. Ketiganya tidak menghentikan:

• Domain mirip yang dimiliki dan diautentikasi dengan benar oleh penyerang
• Penipuan nama tampilan
• Akun sah yang telah disusupi dan mengirimkan surat asli yang terautentikasi

Autentikasi surel sangat penting, tetapi harus dipadukan dengan pelatihan kesadaran pengguna dan penyaringan surel masuk. Pertahanan berlapis juga berlaku di sini.

Uji pemahaman Anda tentang pemalsuan surel.

Anda telah mempelajari mengapa surel mudah dipalsukan:

• SMTP tidak memiliki autentikasi bawaan terhadap pengirim
• Pengirim amplop dan tajuk Dari yang terlihat tidak harus sama
• Pemalsuan memungkinkan penipuan pengelabuan, BEC, dan distribusi perangkat lunak berbahaya melalui trik domain persis, domain mirip, dan nama tampilan
• Tajuk surel dan baris Hasil-Autentikasi membantu menyelidiki pemalsuan
• SPF, DKIM, dan DMARC bersama-sama melindungi dari pemalsuan domain persis, tetapi bukan solusi yang lengkap

Selanjutnya, Anda akan mempelajari cara SPF mengizinkan server pengirim yang sah.