A huijausta valitus on johdanto, ei täydellinen tekninen havainto. Ilmoittaja on saattanut nähdä harhaanjohtavan näyttönimen, samankaltaisen osoitteen, edelleenlähetetyn viestin tai vaarantuneen laillisen tilin. Vastaa säilyttämällä se, mitä he havaitsivat, tunnistamalla puuttuvat todisteet ja suojelemalla mahdollisia liiketoimintaan liittyviä toimia. Älä muuta verkkotunnuskäytäntöä vain siksi, että kuvakaappaus sisältää yrityksen nimen.
Kerää pienin hyödyllinen todisteiden joukko
Pyydä alkuperäinen viesti käyttämällä hyväksyttyä suojattua kanavaa, jos mahdollista, sekä likimääräinen vastaanottoaika, sähköpostilaatikko ja kuvaus pyydetystä toimenpiteestä. Säilytä alkuperäinen ennen muokkausta. Kirjaa, kuka sen toimitti, milloin se on hankittu ja tuliko se suoraan vastaanottajalta vai välittäjän kautta. Välitetty elin voi jättää pois tutkinnan kannalta välttämättömät otsikot.
Pidä alkuperäiset todisteet asianmukaisen pääsynvalvonnan alaisina. Luo erillinen jaettu kopio, joka poistaa tarpeettomat vastaanottajan tiedot, henkilökohtaisen sisällön tai asiaankuulumattomat liitteet säilyttäen samalla asianmukaiset henkilöllisyyskentät. Tiivistä molemmat tiedostot ja dokumentoi muokkaukset, jotta tarkistaja voi ymmärtää, miksi niiden tavut eroavat toisistaan. Hashit sitovat ennätys tavuiksi; ne eivät todista, että sisältö on aito tai että lähettäjä tunnistettiin oikein.
Tunnista luotettava todennustodistus
Etsi järjestelmä, joka arvioi viestin vastaanotettaessa. An Authentication-Results -kenttä on merkityksellinen vain sen vakiintuneiden luottamusrajojen sisällä, kuten RFC 8601 selittää. Todennuksen tulokset. Luotua tai epäluotettavaa otsikkoa ei pitäisi lisätä vastaanottajan havaintoon vain siksi, että se käyttää kelvollista muotoa.
Vertaa Lähettäjä, kirjekuori ja DKIM identiteetit yhdistämättä ohimenevää allekirjoitusta yrityksen hyväksyntään. DMARC käsittelee kohdistettua verkkotunnuksen todennusta kaikenlaisena henkilönä esiintymisen sijaan. RFC 9989. Jos alkuperäinen viesti tai luotetut lokit eivät ole saatavilla, jätä tulos ratkaisematta ja kuvaile, mitä lisätodisteita muuttaisi sen.
Luo hypoteettinen tapahtumakirja
Opetustapauksessa DEMO-COMPLAINT-01 oletetaan, että valittaja ilmoittaa maksunmuutospyynnön, jossa on näkyvissä From billing@brand-pay.test . Todellisia viestitavuja, vastaanottajan aikaleimoja, luotettavia todennustuloksia ja asiakastietoja ei toimiteta. Tallenna alkuperäinen hash ei ole saatavilla, älä keksityksi tiivistelmäksi. Luokitus pysyy väliaikaisena, kunnes asiaankuuluvat todisteet on saatu.
Määritä ehdotetut seuraavat toimet erikseen: postitoiminnot saa hyväksytyn alkuperäisen viennin ja luotetun vastaanottokontekstin; rahoitus tarkistaa pyynnön tunnetun kanavan kautta; tapauspäällikkö valtuuttaa kaiken tarpeellisen jakamisen tai eristämisen. Nämä ovat havainnollistavia rooleja, eivät oikeita ihmisiä, jotka ottivat vastaan tehtäviä.
Jos haluat myöhemmän todellisen jakamiskopion, kirjaa alkuperäinen viite, jokainen muokattu kenttä, tarkoitus, vastaanottaja, hyväksyntä ja tuloksena oleva tiedoston tiiviste. Pidä alkuperäinen muuttumaton. Muutettu hash voi tunnistaa muuttuneet tavut, mutta se ei voi määrittää viestin kirjoittajaa tai säilytysketjua, jota ei koskaan tallennettu. Tälle kirjoitetulle esimerkille ei suoritettu alkuperäistä tiedostoa, muokattua näytettä, hash-laskentaa tai ulkoista tapahtumatoimintoa.
Vastaa rajatulla löydöllä
Hyödyllinen kuittaus kertoo, mitä on vastaanotettu, mikä jää tuntemattomaksi ja kuka tutkii. Vältä toimittajan syyttämistä tai lupaamista, että ongelma korjataan, ennen kuin henkilöllisyys- ja reittitodisteet tukevat tätä päätelmää. Jos rahat tai valtakirjat saattavat olla vaarassa, seuraa organisaation tapausprosessia viipymättä todisteiden keräämisen jatkuessa. FBI suosittelee maksupyyntöjen ja tilimuutosten riippumatonta tarkistamista. FBI:n ohje.
Anna jokaiselle puuttuvalle esineelle omistaja ja seuraava toimenpide. Postitiimi voi noutaa vastaanottajan lokit, yritystiimi voi tarkistaa pyynnön ja turvajohto voi koordinoida eristämisen. Pidä ulkoinen jakaminen hyväksytyssä laajuudessa, varsinkin jos alkuperäinen sisältää arkaluonteisia tietoja.
Sulje vain todistein tukemat johtopäätökset. Vahvistettu samankaltainen pyyntö voidaan luokitella, vaikka palveluntarjoajan nimeäminen jää ratkaisematta. Korjattu laillinen lähetysreitti voi sulkea todennusvirheen korjaamatta liiketoimintahaittaa. Säilytä nämä erot lopullisessa tapahtumapaketissa, jotta seuraava arvioija ei pidä osittaista havaintoa täydellisenä ratkaisuna.
Pidä havainnot todisteiden sisällä
Esimerkit ovat puolustuskeinoja, ei havaittuja syytöksiä oikeita ihmisiä tai nykyisiä palveluntarjoajia vastaan. Säilytä todennustodistukset, liiketoiminnan vahvistus ja nimeäminen erikseen. Nykyiset protokollalähteet kuvaavat toimialueen validoinnin ja luotettujen tulosten rajat; he eivät toimita puuttuvia todisteita eivätkä anna lupaa syytteen julkaisemiseen.