Asisten yang didelegasikan, platform dukungan, dan alur kerja pengiriman surat mungkin memasukkan alamat berbeda di Dari, Pengirim, dan Balas Ke. Seorang penipu dapat mengeksploitasi perbedaan yang sama. Pertanyaan yang berguna adalah apakah identitas dan tujuan balasan cocok dengan pengaturan bisnis yang terverifikasi, didukung oleh bukti autentikasi tepercaya jika berlaku.
Baca bidang sesuai dengan perannya
Dari mengidentifikasi penulis atau penulis pesan. Pengirim mengidentifikasi kotak surat agen yang bertanggung jawab atas transmisi sebenarnya jika berbeda dengan penulis. Reply-To menunjukkan ke mana penulis menyarankan balasan harus dikirim. Jika Balas-Ke tidak ada, balasan secara default harus diarahkan ke Dari kecuali penerima mempunyai pengetahuan lain. Ini adalah semantik format pesan, bukan bukti independen bahwa orang yang disebutkan di atas mengizinkan pesan tersebut. RFC 5322 bagian 3.6.2.
Nama tampilan dapat bertuliskan “Keuangan” sedangkan alamat sebenarnya ada di tempat lain. Perluas dan periksa alamatnya, namun jangan menganggap alamat persis yang sudah dikenal sebagai hal yang cukup: teks header dikontrol oleh pengirim kecuali didukung oleh autentikasi dan sumber yang sesuai. Jika Dari berisi lebih dari satu kotak surat, RFC 5322 memerlukan bidang Pengirim yang berisi satu kotak surat. Pertahankan perbedaan tersebut daripada menyatukan banyak penulis menjadi satu identitas.
Pisahkan input autentikasi
DMARC mengevaluasi hubungan penulis-domain dengan relevan SPF atau DKIM pengidentifikasi yang diautentikasi. Reply-To dan Sender bukan pengganti penyelarasan masukan. Domain Balas-Ke yang cocok tidak dapat menyelamatkan keputusan penyelarasan domain penulis yang gagal. Sebaliknya, Reply-To yang berbeda bisa saja sah dan tidak dengan sendirinya menyebabkan kegagalan DMARC . RFC 9989.
Kartu autentikasi domain tidak mengizinkan perubahan rekening bank, permintaan kredensial, atau penerima baru untuk materi rahasia. Perlakukan instruksi bisnis secara terpisah, terutama bila balasan akan mengungkapkan informasi sensitif atau menerima komitmen konsekuensial.
Periksa contoh yang dibatasi
Pertimbangkan pesan dukungan hipotetis dengan Dari: support@brand.example , Pengirim: operator@service.example dan Reply-To: case123@service.example . Alur kerja dukungan yang disetujui merek mungkin menjelaskan ketiga peran tersebut. Permintaan terpisah untuk mengirim catatan keuangan ke alamat balasan yang tidak dikenal memerlukan konfirmasi independen meskipun domain penulis mengautentikasi. Ini adalah perbandingan yang dibuat-buat, bukan pesan yang diurai atau hubungan layanan yang diautentikasi.
Untuk pesan nyata, bandingkan bidang dengan konfigurasi layanan yang disetujui dan alur kerja yang diverifikasi sebelumnya. Tanyakan apakah organisasi dengan sengaja mengarahkan balasan dukungan ke tujuan tersebut. Verifikasi permintaan yang mengejutkan atau berdampak besar melalui saluran independen yang sudah ada, bukan nomor telepon atau tautan yang diberikan dalam pesan yang dicurigai.
Catat keputusan kontekstual
Dokumentasikan penulis yang diklaim, agen transmisi, tujuan balasan, hasil otentikasi tepercaya, dan hasil verifikasi bisnis. Jika perbedaannya sesuai dengan pengaturan yang disetujui, catatlah mengapa perbedaan tersebut diharapkan terjadi. Jika tujuannya tidak dapat dijelaskan, lakukan tindakan konsekuensial sementara pemilik memverifikasinya. Hindari aturan menyeluruh yang harus dipatuhi oleh ketiga domain, yang dapat mematahkan delegasi yang sah tanpa memberikan pembelaan menyeluruh terhadap penipuan.
Tutup penyelidikan dengan tindakan aman penerima berikutnya. Hal ini dapat berupa membalas melalui portal dukungan yang dikenal, mengonfirmasi permintaan dengan kontak yang sudah ada, atau meningkatkan dugaan peniruan identitas dengan pesan asli yang dipertahankan.
Verifikasi alur kerja sebelum balasan
- Perluas alamat Dari, Pengirim, dan Balas Ke yang sebenarnya.
- Penulis peta, agen pengirim dan tujuan balasan yang disarankan secara terpisah.
- Menguatkan autentikasi tepercaya tanpa memperlakukannya sebagai persetujuan bisnis.
- Periksa tujuan tak terduga melalui saluran independen yang sudah mapan.
- Catat apakah pengaturan yang disetujui menjelaskan perbedaannya, atau tahan tindakan konsekuensialnya.