사기는 우리 사회에 만연해 있으며, 주의하지 않으면 이메일 내용이 그럴듯해 보여 송금에 동의할 수도 있습니다. 사기꾼들은 로고를 그럴듯하게 만들고, 발신자 이름을 거래처 이름과 일치시키고, 제목에 적절한 긴급성을 부여하는 등 사기 수법을 완벽하게 익혔습니다. 결국, 그들은 가장 똑똑한 사람조차 속일 수 있습니다.
하지만 진짜 문제는 이메일을 받으면 보통 보이는 내용을 통해 그 진위 여부를 확인한다는 점입니다. 예전에 PDF 파일을 열기 전에 사용할 체크리스트에 대해 이야기한 적이 있습니다.하지만 이메일이 진짜인지 확인하기 전에 살펴봐야 할 몇 가지 기준이 있습니다. 실제로 확인해야 할 정보는 메타데이터에 있는 경우가 많습니다.
로압 스리유에스
"보낸 사람" 필드만으로는 누가 이메일을 보냈는지 알 수 없습니다.
인증은 도메인을 확인하는 것이지 브랜드를 확인하는 것이 아닙니다.
표시되는 이름을 맹신하지 마세요. 결국 그 이름은 아무것도 증명해주지 않으니까요. 물론, 특히 Gmail이나 Outlook을 사용한다면 쉽게 알 수 있겠지만, 이는 대부분의 이메일 클라이언트가 편의성을 우선시하고 신원 확인을 소홀히 하도록 설계되었기 때문입니다.
"PayPal 보안"이라는 문구가 명확하게 표시된 이메일을 받았다고 해서 PayPal에서 보낸 이메일이라는 의미는 아닙니다. 실제 발신자는 다른 사람일 수 있습니다. [이메일 보호]급할 때 페이팔에서 소문자 "l"을 숫자 "1"로 바꾸는 건 어려울 수 있습니다. 실제 송금인을 확인하려면 헤더를 확인하세요. 이와 같은 서비스: 발신자의 이메일 주소가 꺾쇠괄호로 묶여 있습니다. 하지만 이것만으로는 이메일의 진위 여부를 확실히 확인할 수 없습니다. 이메일 발신처를 확인해야 합니다. Gmail에서 이메일을 열고 답장 아이콘 옆의 점 세 개를 클릭한 다음 '답장'을 클릭하세요. 원본보기데스크톱용 Outlook에서 다음으로 이동하세요. 파일 ->속성 ->인터넷 헤더Apple Mail에서 다음으로 이동하세요. 관측 ->메시지 ->모든 헤더원래 메시지 페이지에서 중요한 세 가지 데이터는 발신자, 반환 경로 및 인증 결과(SPF, DKIM 및 DMARC 결과)입니다.
SPF, DKIM 및 DMARC 값은 다음과 같아야 합니다. PASS하지만 이것만으로는 이메일의 진위 여부를 증명할 수는 없습니다. 다만 이메일이 제대로 인증되었다는 것을 의미하며, 이는 발신자가 해당 도메인에 대한 기술적 제어권을 가지고 있음을 보여줍니다. 범죄자가 paypa1-secure.com과 같은 도메인을 등록하고 SPF를 설정하고, DKIM으로 메시지에 서명하고, DMARC 정책을 구현했다면 기술적 제어권을 확보할 수 있다는 점을 기억하십시오.
이 단계에서 가짜 이메일을 판별하는 주요 지표는 헤더(보낸 사람 주소, 반송 경로, SPF/DKIM 결과)의 불일치입니다. 보이는 보낸 사람 주소가 반송 경로의 도메인과 일치하는지 확인하고, SPF IP 주소가 실제 브랜드 도메인으로 연결되는지 검증하십시오. 이 모든 사항이 확인되면 해당 이메일은 가짜가 아닐 가능성이 높습니다.
이메일 클라이언트는 피싱 공격을 차단하기 위해 열심히 노력하지만, 완벽한 필터는 없습니다. 정교한 공격, 새로 등록된 도메인, 해킹된 계정을 통해 전송되는 이메일은 자동화된 방어 시스템을 정기적으로 회피합니다..
"Received" 문자열은 이메일이 실제로 어디에서 왔는지 보여줍니다.
모든 메일 서버는 공격자들이 통제하기 어려운 흔적을 남깁니다.
이메일 서버는 메시지를 처리할 때 헤더 맨 위에 "Received"라는 줄을 추가합니다. 공격자는 이메일이 자신의 시스템을 떠나기 전에 "Received" 줄을 위조할 수 있습니다. 그러나 수신 메일 서버는 "Received" 문자열의 일부로 특정 줄을 추가합니다. 이 추가된 부분은 공격자가 위조할 수 없습니다. 만약 두 줄 사이에 불일치가 있다면 해당 이메일을 의심해 봐야 합니다.
이 정보는 이메일 소스 보기 페이지에서 여전히 확인할 수 있습니다. 다음은 이메일 제공업체가 허용하는 첫 번째 수신 줄의 예입니다.
수신: a74-66.smtp-out.amazonses.com(a74-66.smtp-out.amazonses.com. [54.240.74.66])에서 mx.google.com으로 전송됨
이 예시는 발신자가 추가한 내용이 아니라 구글이 작성한 내용입니다. 단순히 구글이 IP 주소 54.240.74.66에서 smtp-out.amazonses.com을 통해 이메일을 수신했다는 것을 알려줍니다. 이제 이 내용이 타당한지 확인하기 위해 메시지에 포함된 다른 헤더들과 비교해 봐야 합니다.
이 특정 메시지의 경우 헤더에 표시된 발신자는 다음과 같습니다. [이메일 보호]반환 경로는 아마존 도메인인 amazonses.com입니다. 이전에 확인한 다른 정보에 따르면 SPF는 아마존 SES IP 주소인 54.240.74.66을 통과했고, DKIM은 makeuseof.com을 통과했습니다. 모든 것이 일치합니다. 많은 기업들이 아마존 SES 인프라를 사용하여 알림을 보내는 것이 일반적이므로 전체적인 상황이 잘 맞아떨어집니다.
정상적인 이메일은 다음과 같은 라우팅 경로를 거칩니다.
- 공인 우편 서비스
- 서버 일치 인증
- 이 과정에는 임의의 호스팅 제공업체가 없습니다(반드시 공인된 이메일 서비스 플랫폼이어야 합니다).
가짜 이메일은 일반적으로 서비스 제공업체가 관련 없는 VPS, 이상한 도메인 또는 광고된 발신자와 연결되지 않은 IP 주소로부터 메시지를 수신한 흔적을 남깁니다.
이 모든 것이 일반적으로 사실이지만, 더욱 정교한 공격은 해킹당한 정상적인 계정이나 알려진 클라우드 서비스를 통해서도 이루어질 수 있으므로 이러한 위험 신호가 없다고 해서 100% 정상이라고 보장할 수는 없습니다.
메시지 ID와 봉투 모양이 변조된 경우, 부주의하거나 대량으로 피싱 공격을 시도하는 것으로 나타납니다.
사칭 대상 브랜드와 인프라의 세부 사항이 일치하는 경우는 드뭅니다.
메시지 ID 필드는 간과해서는 안 될 또 다른 중요한 항목입니다. 소스 보기 페이지에서 가장 먼저 보이는 요소이며, 메시지 발신 서버에서 생성되는 전역적으로 고유한 식별자입니다. 일반적으로 @domain으로 끝나는 긴 문자열 형태입니다. 이 도메인 부분을 특히 주의 깊게 살펴봐야 합니다.
일반적으로 amazon.com에서 온 메시지는 메시지 ID가 아마존 도메인으로 끝나는 것이 정상입니다. 만약 아마존 대신 @cheapmailer.hosting123.net과 같은 메시지 ID를 받았다면, 이는 문제가 있는 메시지이므로 무시하지 마세요.
하지만 메시지 ID에는 해당 메시지가 위조된 것임을 보여주는 다른 증거가 있습니다.
- 메시지 ID가 완전히 누락되었습니다.
- 메시지 ID 형식은 서로 관련 없는 피싱 이메일에서도 모두 동일합니다.
- 머리 엑스메일러 오래되었거나 특이한.
- X- 원래 -IP Exposed는 주거용 또는 저가형 호스팅 범위를 의미합니다.
Message-ID가 사기성 이메일을 탐지하는 데 강력한 도구인 이유는 정교한 공격자는 이메일을 삭제할 수도 있지만, 대량 피싱 공격은 정교함보다는 양에 우선순위를 두는 경우가 많기 때문입니다.
메시지 ID는 공격자가 위조하기 가장 쉬운 요소 중 하나이므로, 그럴듯한 메시지 ID라고 해서 무조건 진위의 증거로 간주해서는 안 됩니다. 메시지 ID의 가치는 제대로 설정하지 않은 부실하거나 자동화된 피싱 공격을 탐지하는 데 거의 전적으로 있습니다.
세 가지 타이틀을 통합합니다
제가 설명한 세 가지 제목의 공통점은 모두 메시지 전달 방식과 관련이 있다는 것입니다. 메시지 표현 방식은 고려하지 않았지만, 전달 방식은 표현 방식이 훨씬 쉽게 모방될 수 있기 때문에 매우 중요합니다. 또한 전달 방식은 진정성을 입증하는 단서를 남깁니다.
당연히, 원치 않는 메시지를 많이 받고 있다면, 메시지 수신량을 줄이기 위한 실질적인 조치를 취하는 것이 현명합니다.수가 많을수록 그들 사이에서 문제가 발생할 가능성이 커지기 때문입니다.
