Como funciona a falsificação de e-mails

O principal protocolo de e-mail, o SMTP, foi projetado no início da década de 1980 para uma pequena rede confiável de pesquisadores. Ele não possui autenticação integrada do remetente.

Essa premissa original de confiança explica por que a falsificação de e-mails é tão fácil hoje. Qualquer pessoa que consiga se comunicar via SMTP com um servidor de e-mail pode afirmar ser quem quiser, a menos que proteções adicionais (SPF, DKIM, DMARC) sejam adicionadas em camadas.

Um conceito crucial: um e-mail na verdade tem dois conjuntos de endereços, que não precisam coincidir.

• Envelope (MAIL FROM) — usado pelos servidores de e-mail para encaminhar e devolver a mensagem; o usuário nunca o vê
• Remetente do cabeçalho — a linha “De:” exibida no cliente de e-mail

A falsificação explora essa diferença: o remetente visível do cabeçalho pode dizer qualquer coisa, independentemente de quem realmente enviou a mensagem.

Como o SMTP não verifica a identidade, um invasor pode simplesmente definir o cabeçalho De como um endereço confiável. Uma conversa SMTP bruta se parece com isto:

O e-mail falsificado é a base de grandes categorias de ataques:

• Pesca fraudulenta — induzir usuários a inserir credenciais
• Comprometimento de e-mail corporativo (BEC) — personificar um executivo para autorizar pagamentos fraudulentos
• Distribuição de software malicioso — anexos que parecem ter vindo de um colega

Uma mensagem que parece vir do seu CEO ou do seu banco tem muito mais probabilidade de ser considerada confiável e de receber uma resposta.

A falsificação do domínio exato forja o remetente do cabeçalho para usar seu domínio real, por exemplo, ceo@yourcompany.com.

Esta é a forma mais perigosa porque o endereço está realmente correto; não há erro de digitação para perceber. Sem autenticação de e-mail, um servidor receptor não tem como saber que a mensagem não se originou da sua infraestrutura real.

SPF, DKIM e DMARC existem principalmente para impedir a falsificação do domínio exato.

Quando a autenticação impede a falsificação do domínio exato, os invasores recorrem a domínios semelhantes que eles próprios possuem e controlam:

Mesmo com todas as proteções ativadas, os invasores exploram o nome de exibição, o texto amigável mostrado antes do endereço.

Muitos clientes de e-mail, especialmente em dispositivos móveis, mostram apenas o nome de exibição e ocultam o endereço real. Assim, um e-mail de:

"Acme CEO" <random123@gmail.com>

pode aparecer simplesmente como Acme CEO. O endereço é legítimo para um serviço de e-mail, portanto a autenticação é aprovada, mas o usuário é enganado. Este é um problema humano que a autenticação não consegue resolver.

Para investigar uma mensagem suspeita, examine os cabeçalhos completos. Eles registram o caminho percorrido pela mensagem e os resultados da autenticação.

Os cabeçalhos Recebido formam uma cadeia, lida de baixo para cima, que mostra cada servidor pelo qual a mensagem passou.

Os sinais de alerta incluem:

• Um servidor de origem que não pertence ao remetente declarado
• Uma divergência entre o caminho de retorno e o domínio do remetente
• Geolocalizações de IP suspeitas ou inesperadas

Junto com a linha de resultados da autenticação, a cadeia de cabeçalhos frequentemente revela rapidamente uma falsificação.

Três padrões complementares trabalham em conjunto para tornar o e-mail confiável. Cada um trata de uma lacuna diferente:

• SPF — autoriza quais servidores podem enviar e-mail pelo seu domínio (o remetente do envelope)
• DKIM — assina mensagens criptograficamente para que adulterações e falsificações sejam detectáveis
• DMARC — associa SPF e DKIM ao remetente visível do cabeçalho e informa aos destinatários o que fazer em caso de falha

Você estudará cada um nas próximas três lições.

SPF, DKIM e DMARC impedem a falsificação de domínios exatos que você controla. Eles não impedem:

• Domínios semelhantes que o invasor possui e autentica corretamente
• Engano pelo nome de exibição
• Contas legítimas comprometidas que enviam e-mails reais e autenticados

A autenticação de e-mail é essencial, mas deve ser combinada com treinamento de conscientização dos usuários e filtragem de entrada. A defesa em profundidade também se aplica aqui.

Verifique sua compreensão sobre falsificação de e-mails.

Você aprendeu por que é fácil falsificar e-mails:

• O SMTP não possui autenticação integrada do remetente
• O remetente do envelope e o remetente visível do cabeçalho não precisam coincidir
• A falsificação viabiliza a pesca fraudulenta, o BEC e a distribuição de software malicioso por meio de truques com domínios exatos, semelhantes e nomes de exibição
• Os cabeçalhos de e-mail e a linha de resultados da autenticação ajudam a investigar falsificações
• SPF, DKIM e DMARC juntos protegem contra a falsificação de domínios exatos, mas não são uma solução completa

Em seguida, você aprenderá como o SPF autoriza servidores legítimos de envio.