Дзвінок завжди однаковий: клієнт телефонує уточнити рахунок, якого ти не надсилав, із твоїм імʼям у відправнику і чужим банківським рахунком. Або постачальник каже, що отримав від тебе оновлені платіжні реквізити.
Перше питання — «нас зламали?» — майже завжди має відповідь «ні». Щоб надіслати лист із твоїм доменом у відправнику, не треба заходити в жоден обліковий запис.
Чому це взагалі можливо
Електронну пошту придумали тоді, коли ніхто не думав, що хтось брехатиме. Поле «Від» у листі — це текст, який пише сам відправник: туди можна вписати що завгодно, як зворотну адресу на конверті.
Жодної вбудованої перевірки немає. Єдині перевірки, які існують, — це ті, що ти сам публікуєш у DNS свого домену. Якщо ти їх не опублікував, сервер-отримувач не має як дізнатися, що цей лист не від тебе.
Звідси важливий висновок: цей захист не купують і не встановлюють. Його налаштовують, і він безкоштовний.
Два різновиди, які захищаються по-різному
Пряме використання твого домену. Відправник — рівно імʼя@твійдомен.it. Це найшкідливіший випадок і, як не дивно, найлегший для закриття: саме для цього DMARC і існує.
Схожі домени. Відправник — твійдомен-srl.it, твій-домен.it або твійдомéн.it із майже непомітною літерою з наголосом. Тут DMARC безсилий: це інший домен, а над чужим доменом у тебе влади немає. Захист тут інакший, і про нього наприкінці.
Варто зрозуміти, який саме різновид відбувається, перш ніж вирішувати, що робити. Зʼясовується це за заголовками того самого підозрілого листа: дивитись треба не на показане імʼя, яке є декорацією, а на справжню адресу.
Послідовність, яка зачиняє двері
Щоб закрити пряме використання твого домену, потрібні три записи DNS і трохи терпіння. Терпіння тут головне: зроблена нашвидкуруч, ця робота блокує твої власні листи замість чужих.
1. Переписати всіх, хто шле легітимно. Перш ніж сказати світу «відхиляй усе неавтентифіковане», треба знати, що є автентичним. У компаніях систем завжди більше, ніж здається: корпоративна пошта, облікова система, магазин, платформа розсилок, сервіс рахунків, форма на сайті, CRM.
2. Полагодити SPF і DKIM для кожного, перевіряючи саме узгодження, а не лише те, що перевірка «пройшла». Саме тут помиляється більшість конфігурацій.
3. Опублікувати DMARC у режимі спостереження. Він нічого не блокує. Він лише просить отримувачів надсилати щоденний звіт про те, що вони бачать від твого імені.
4. Читати ці звіти два-три тижні. Тут стаються дві речі одночасно: знаходяться забуті легітимні відправники і стає видно, хто тебе підробляє — обсяги, IP-адреси, країни.
5. Посилити політику, спершу до карантину, потім до відмови, коли звіти скажуть, що з кожним справжнім відправником усе гаразд.
Наприкінці цієї послідовності лист, який заявляє, що прийшов із твого домену, не будучи ним, отримує відмову від сервера-отримувача. Він не падає у спам — він не доходить узагалі.
Що це реально змінює
Про результат варто говорити точно, бо маркетинг навколо цієї теми обіцяє забагато.
Що вирішує: ніхто більше не може використати твій точний домен у відправнику для отримувачів, які застосовують DMARC, а це вже майже всі великі провайдери.
Чого не вирішує: схожих доменів, листів зі справді зламаного облікового запису (вони автентичні, і DMARC їх схвалює) та шахрайства, яке використовує не твій домен у відправнику, а твоє імʼя в тексті.
І все одно це найкращий за співвідношенням «витрати — результат» захист, який існує в пошті: три записи і кілька тижнів уваги.
Схожі домени
Тут захист іншої природи і почасти є питанням бюджету.
Можна зареєструвати наперед очевидні варіанти свого імені: з дефісом і без, паралельне розширення, найімовірнішу помилку набору. Не всі: той, хто хоче тебе обдурити, однаково знайде вільний варіант, а купувати двадцять доменів заради захисту — це видаток без кінця. Два-три справді схожі — розумно, і вони ведуться разом із рештою портфеля доменів.
Можна стежити за появою схожих доменів і діяти, коли такий зʼявляється.
А коли є підстави — вимагати зняття: реєстри мають процедури для імен, зареєстрованих недобросовісно, і в того, хто може довести торгову марку чи назву компанії, є аргументи.
Нетехнічна частина, яка спиняє справжні шахрайства
Шахрайства, що коштують реальних грошей — коли платіж іде на чужий рахунок — не спиняються записами DNS. Вони спиняються одним простим правилом компанії, записаним і відомим тим, хто платить:
Зміну банківських реквізитів ніколи не приймають електронною поштою. Її підтверджують дзвінком на вже відомий номер, а не на номер, вказаний у листі.
Це коштує нуль і закриває найприбутковішу категорію шахрайства, яка існує. Записи DNS забирають в атакувальника найпереконливіший інструмент; це правило робить марною навіть найвдалішу спробу.