Como você pode fingir um endereço de email?

Recentemente, alguém me perguntou se um email que ela recebeu era spam. Parecia ser de um banco conhecido (Belfius.be) na Bélgica. Afirmou que algumas informações estavam desatualizadas e que precisavam de revisão. Obviamente, a primeira coisa que vem à mente é que é spam. Por quê?

• Cargas de erros de linguagem, frases ruins ...
• O link fornecido era um link maligno : parecia que levava ao site da belfius (algo como belfius.be/revision1285 ). Mas, ao passar o mouse sobre ele, você pode ver que ele realmente se refere a outro site. Um domínio .ca mesmo.

Agora, eu disse imediatamente Não clique no link, mas algo me fez pensar. O email do remetente era noreply@belfius.be e belfius.be é o site oficial do banco. Então, como pode ser isso? Como eles podem fingir o endereço de email?

Simples. Editando o From:cabeçalho enquanto envia o email. Isso é conhecido como "falsificação de email" . O cabeçalho From: é facilmente editável se você estiver enviando correio via PHP ou algo assim, sem truques sofisticados. O que não é editável, porém, é o endereço IP / nome de domínio do site de onde ele se originou. Se você verificar o email em texto sem formatação (no Gmail, vá para o menu ao lado do botão de resposta e "mostre a mensagem original"), os Received:cabeçalhos transportarão todas as informações sobre o caminho (quanto mais fundo Received:estiver o cabeçalho, mais adiante no cadeia de e-mail). Observe que um email que passa por vários saltos também pode ter alguns dos cabeçalhos mais profundos falsificados. Você precisa ir para baixo, vendo em quais cabeçalhos (ou seja, sites) você confia.Received: from abc.com (IP address) by something.google.com (IP)(supondo que você tenha o Gmail - caso contrário by, será diferente). Agora, este cabeçalho foi escrito pela byparte. Comece no topo, os primeiros Received:cabeçalhos não terão um from/ by. Encontre o primeiro com esses. Sua byserão pertencente ao seu provedor de e-mail - que você confia. Veja se você confia no frome, se o fizer, vá para o próximo Received:cabeçalho (no qual você confia agora) e assim por diante. Se você não confiar em um cabeçalho intermediário, todos os itens abaixo não serão confiáveis ​​- eles podem ter sido falsificados.

No entanto, o Gmail geralmente detecta falsificações e coloca uma espécie de nota de rodapé "abc@def.com via ghi@jkl.com" no email. Observe que há usos perfeitamente legítimos de falsificação de email - muitas listas de email falsificam emails para uma experiência mais suave. O mesmo acontece com certos fóruns / quadros de mensagens. Aqui, eles enviam o e-mail para parecer que veio do pôster original. O Reply-To:cabeçalho está definido como list / webapp / qualquer ID de email, portanto, responder a ele, por padrão, vai para a lista (/ etc). A lista pode, então, lidar com ela como achar melhor - pode verificar se há spam, talvez suspender a moderação etc. é exatamente o que você queria - poder ter discussões por email sem usar "Responder a todos"

O que alguns spoofers "legítimos" fazem é definir o Sender:cabeçalho para seu próprio ID. Supõe-se que isso significa "Enviado por Senderem nome de From". Observe que a presença de um Sender:cabeçalho não significa nada quando se trata de falsificação "ilegítima" - esse cabeçalho também é falsificado. Como eu disse, a única maneira de verificar é através dos Receivedcabeçalhos.

É trivial usar um endereço "de" falso. A maneira iniciante é simplesmente editar as configurações do seu cliente de email e alterar o padrão do endereço. Muitos provedores de serviços enviarão um email com um campo falso, porque o servidor de email não sabe o que é real.

Os spammers usam software personalizado dedicado e sempre usam endereços falsos.