Une équipe de lutte contre la fraude a besoin d'un bref compte rendu de l'identité du message, de ce que le système de réception a réellement vérifié et des actions commerciales qui restent dangereuses. Un long vidage d'en-tête ne répond pas à lui seul à ces questions. Conservez les originaux techniques, puis créez un résumé orienté décisionnel avec confiance et inconnues.
Gardez quatre identités séparées
Enregistrez l'adresse de l'auteur visible, la réponse à, l'identité de l'enveloppe et DKIM domaines de signature lorsqu'ils sont présents. Ajoutez la personne ou l'organisation apparente représentée par le texte affiché en tant que revendication distincte. Un nom d'affichage d'apparence légitime peut coexister avec un domaine différent. DMARC examine alignement de domaine, pas si le dirigeant nommé a approuvé le message. RFC 9989.
Ne remplacez pas une adresse IP source par la personne responsable ou le client. Les services partagés, les redirections et les passerelles compliquent le parcours. Traitez la propriété de l’infrastructure comme une piste nécessitant une corrélation avec les dossiers de service et une enquête autorisée, et non comme une accusation toute faite.
Étiquetez chaque couche de preuves
L'exportation originale est l'artefact capturé. Les résultats du récepteur sont des déclarations provenant d'un service d'authentification spécifique. La vérification commerciale est une confirmation distincte via le flux de travail autorisé de l'organisation. L'attribution est une conclusion d'enquête qui peut rester irrésolue. Placez ces couches dans des champs séparés afin qu'un analyste de la fraude ne les confonde pas.
RFC 8601 décrit la limite de confiance pour Authentication-Results. Un champ copié à partir d'une source non fiable ne peut pas faire autorité simplement en étant inclus dans le package d'incidents. RFC 8601. Conservez les champs douteux comme preuve de ce qui était présent, mais étiquetez-les comme non fiables et demandez au destinataire un enregistrement corroborant.
Construire l'enregistrement de transfert
Incluez un identifiant de cas, le propriétaire de la collection, l'heure observée par le récepteur lorsqu'elle est disponible, le hachage original, le hachage de copie de partage, les identités observées, la demande commerciale, l'impact connu et la prochaine action immédiate. Indiquer si un paiement a été demandé, initié ou confirmé envoyé ; ne déduisez pas une perte du libellé d’un e-mail. Gardez les détails personnels ou financiers inutiles hors d’un résumé largement partagé.
Pour les demandes financières, un chèque à contact connu appartient au propriétaire du paiement. Le FBI recommande de vérifier indépendamment les modifications de compte et de paiement via un canal connu. Conseils du FBI. Les résultats de l’authentification doivent éclairer cette réponse sans devenir une autorisation financière.
Examiner un transfert hypothétique complet
Le cas DEMO-FRAUD-01 est un exemple écrit et non un incident capturé. Stipulez le nom d'affichage Exemples de comptes et visible From billing@brand-payments.test . Répondre à, expéditeur d'enveloppe et les domaines de signature DKIM ne sont pas fournis. Un en-tête copié revendique une réussite pour brand.test, mais l'origine de son récepteur de confiance est inconnue ; l’authentification et l’attribution des acteurs restent en suspens.
Le fichier d'origine, l'horodatage de collection, le hachage d'origine, le hachage de copie expurgée et le journal de transformation ne sont tous pas disponibles dans cet exemple. Ne fabriquez aucune de ces valeurs. Dans un cas réel, le collecteur autorisé conserve l'original et enregistre exactement ce que change un dérivé spécifique au destinataire, puis calcule le résumé réel de chaque fichier. Un résumé identifie les octets, pas l'expéditeur humain.
Supposons que la demande commerciale concerne un changement de paiement. On ne sait pas si l’argent a été initié ou envoyé, et la vérification des contacts connus n’est pas terminée. Le propriétaire financier proposé conserve la retenue de vérification ; le propriétaire du courrier proposé obtient la preuve d'un destinataire fiable ; le responsable de l'incident approuve tout partage spécifique. Il s’agit d’attributions de rôles non acceptées pour l’enseignement, et non de rappels, de rédactions ou de rapports exécutés.
Clôturez le transfert avec une demande de décision explicite : conservez un blocage de paiement, enquêtez sur un compte, vérifiez une instruction d'un fournisseur ou attendez un élément de preuve nommé. Cela empêche l’équipe technique de décider par inadvertance une action financière et empêche l’équipe chargée de la fraude de supposer que chaque question technique sans réponse bloque un confinement immédiat.