A usurpation d'identité la plainte est une piste et non une constatation technique complète. Le journaliste a peut-être vu un nom d'affichage trompeur, une adresse similaire, un message transféré ou un compte légitime compromis. Répondez en préservant ce qu’ils ont observé, en identifiant les preuves manquantes et en protégeant toute action commerciale affectée. Ne modifiez pas la politique de domaine simplement parce qu'une capture d'écran contient le nom de l'entreprise.
Recueillir le plus petit ensemble de preuves utiles
Demandez le message original en utilisant un canal sécurisé approuvé lorsque cela est possible, ainsi que l'heure de réception approximative, la boîte aux lettres concernée et la description de l'action demandée. Conservez l’original avant la rédaction. Enregistrez qui l'a fourni, quand il a été acquis et s'il provient directement du destinataire ou par un intermédiaire. Un organisme transmis peut omettre des en-têtes essentiels à l'enquête.
Conservez les preuves originales sous un contrôle d’accès approprié. Créez une copie de partage distincte qui supprime les détails inutiles du destinataire, le contenu personnel ou les pièces jointes sans rapport tout en conservant les champs d'identité pertinents. Hachez les deux fichiers et documentez les suppressions afin qu'un réviseur puisse comprendre pourquoi leurs octets diffèrent. Liaison de hachages un enregistrement en octets ; ils ne prouvent pas que le contenu est authentique ou que l'expéditeur a été correctement identifié.
Identifiez les preuves d'authentification fiables
Recherchez le système qui a évalué le message à la réception. Un Authentication-Results Le champ n'a de sens que dans sa limite de confiance établie, comme l'explique RFC 8601 . Résultats d'authentification. Un en-tête généré ou non fiable ne doit pas être promu en observation de récepteur simplement parce qu'il utilise un format valide.
Comparez De, enveloppe et DKIM identités sans confondre une signature passagère avec l’approbation commerciale. DMARC traite de l’authentification de domaine alignée plutôt que de toutes les formes d’usurpation d’identité. RFC 9989. Si le message d'origine ou les journaux fiables ne sont pas disponibles, laissez le résultat non résolu et décrivez quelles preuves supplémentaires pourraient le modifier.
Construire un registre des incidents hypothétiques
Pour le cas pédagogique DEMO-COMPLAINT-01, supposons qu'un plaignant signale une demande de modification de paiement avec visible From billing@brand-pay.test . Les octets réels du message, les horodatages du destinataire, les résultats d'authentification fiables et les détails du client ne sont pas fournis. Enregistrez le hachage original comme indisponible, et non comme un résumé inventé. La classification reste provisoire jusqu'à ce que les preuves pertinentes soient obtenues.
Attribuez séparément les actions suivantes proposées : les opérations de courrier obtiennent le contexte d'exportation original approuvé et le contexte de réception approuvé ; les finances vérifient la demande via un canal connu ; le responsable de l'incident autorise tout partage ou confinement nécessaire. Ce sont des rôles illustratifs, pas de vraies personnes qui ont accepté des missions.
Pour une copie de partage réelle ultérieure, enregistrez la référence originale, chaque champ expurgé, objectif, destinataire, approbation et hachage de fichier résultant. Gardez l'original immuable. Un hachage modifié peut identifier les octets modifiés, mais ne peut pas établir l'auteur du message ou une chaîne de traçabilité qui n'a jamais été enregistrée. Aucun fichier original, spécimen expurgé, calcul de hachage ou action d'incident externe n'a été effectué pour cet exemple écrit.
Répondez avec une conclusion limitée
Un accusé de réception utile indique ce qui a été reçu, ce qui reste inconnu et qui enquête. Évitez d'accuser un fournisseur ou de promettre que le problème est résolu avant que les preuves d'identité et d'itinéraire n'étayent cette conclusion. Si de l'argent ou des informations d'identification peuvent être en danger, suivez rapidement le processus d'incident de l'organisation pendant que la collecte de preuves se poursuit. Le FBI recommande une vérification indépendante des demandes de paiement et des modifications de compte. Conseils du FBI.
Donnez à chaque élément manquant un propriétaire et une action suivante. L'équipe de messagerie peut récupérer les journaux des destinataires, l'équipe commerciale peut vérifier la demande et le responsable de la sécurité peut coordonner le confinement. Conservez le partage externe dans la portée approuvée, en particulier lorsque l'original contient des informations sensibles.
Fermez uniquement les conclusions étayées par des preuves. Une demande de sosie confirmée peut être classifiée alors que l'attribution du fournisseur reste non résolue. Une route d'envoi légitime réparée peut combler le défaut d'authentification sans résoudre le préjudice commercial. Conservez ces distinctions dans le dossier final de l'incident afin que le prochain examinateur ne confonde pas une découverte partielle avec une résolution complète.
Conserver les résultats dans les preuves
Les exemples sont des aides à la décision défensives, et non des allégations observées contre de vraies personnes ou des prestataires actuels. Conservez séparément les preuves d’authentification, la vérification commerciale et l’attribution. Les sources de protocole actuelles décrivent la validation du domaine et les limites des résultats fiables ; ils ne fournissent pas les preuves manquantes et n'autorisent pas la publication d'une accusation.