Et lookalike navn er en ledetråd, ikke en fullstendig misbrukssak. Rapporten skal vise hva som har skjedd, hvor relevant bevis kommer fra og hva mottaker kan undersøke. Ta vare på originalen før du lager en praktisk delekopi. Separat likhet, observert oppførsel og utledet ansvar.
Fang den nøyaktige identiteten
Registrer hele domenestavingen, den synlige Fra-adressen, Svar-Til, konvoluttidentiteten der det er tilgjengelig og enhver relevant URL uten å aktivere den. Et skjermbilde kan vise etterligningen sett av en mottaker, men det bevarer ikke alt meldingshoder. Eksporter råmeldingen gjennom en autorisert prosess og behold dens originale byte. Hold det mottatte klokkeslettet med tidssone og skille det fra det avsender-leverte Dato-feltet.
DMARC gjelder forholdet mellom autentiserte domener og forfatterdomenet. Det gjør ikke et visuelt lignende domene til en del av domenets retningslinjer. En lookalike kan autentisere seg selv. RFC 9989. Oppgi denne forskjellen i rapporten, slik at en bestått ikke sletter den observerte etterligningen.
Etabler herkomst før attribusjon
An Authentication-Results feltet er meningsfullt bare innenfor en kjent tillitsordning. En angriper kan sette inn et overbevisende felt. Spør mottakende e-postteam om deres pålitelige resultater og korreler dem med meldingsposten; ikke behandle hver kopierte overskrift som mottakerbevis. RFC 8601.
Hold en sakseier, innsamlingsmetode, innsamlingstidspunkt, originalfil-hash og tilgangssted. Hashing hjelper til med å identifisere de samme bytene senere; det beviser ikke hvem som har sendt dem eller at innholdet er sannferdig. Bevar kilde-IP-er som ruteledd, ikke avgjørende personlig attribusjon. Delt infrastruktur og mellomliggende hopp krever ytterligere bekreftelse.
Bygg en minimal delingspakke
Forbered et hendelsessammendrag som angir nøyaktig observert atferd, berørt identitet, bevistider, kjent påvirkning og etterspurt etterforskning. Legg ved en redigert kopi først etter å ha bestemt hvilke felt den tiltenkte mottakeren trenger. Ta vare på en transformasjonslogg som kobler den til originalen. Ikke fjern selve nettadressen eller domenet som trengs for å forstå påstanden uten å oppgi den via en passende sikker kanal.
ICANNs registrarveiledning skiller handlingspliktige bevis fra en ren påstand og gir eksempler som misbruks-URL og bevis for phishing representasjon. Dets kontraktsmessige rammeverk gjelder gTLD-registrarer og registre, ikke alle hosting- eller landskodedomenetvister. ICANN rådgivende.
Følg en avgrenset skriftlig bevisbok
Anta at tilfelle DEMO-ABUSE-01 beskriver synlig fra billing@brand-payments.test og en upålitelig header-påstand som heter brand.test. Bevar begge verdiene, men registrer pålitelig mottakerautentisering som utilgjengelig. Den rapporterte identiteten og den kopierte påstanden er forskjellige; ingen av dem beviser hvem som opererte avsenderen. Ingen originale meldingsbytes, innsamlingstid eller beregnede hashes leveres her.
Den foreslåtte innkrevingsboken inneholder: sakseier, autorisert innkrever, innsamlingsmetode, mottakerobservert tid og tidssone, original filplassering og original hash. Delingsreskontroen inneholder separat: tiltenkt mottaker, godkjent formål, redigerte felt, derivatplassering og derivat-hash. For dette eksemplet forblir ikke alle faktiske fil- og godkjenningsfelter oppgitt. Ikke fyll hull med plausible verdier.
Den neste handlingen er å skaffe en pålitelig mottakereksport og dokumentere den observerte misbruksadferden før en mottakerspesifikk delingsbeslutning. Ingen syntetisk fil ble generert, hash-beregnet, domene søkt opp, leverandør kontaktet eller forespurt fjerning for denne undervisningsrevisjonen. Hovedboken illustrerer bevisdisiplin, ikke en utfylt misbruksrapport.
Før en reell innsending, verifiser destinasjonen uavhengig, innhent autorisasjon til å dele de relevante dataene og registrer innsendingskvitteringen. Hold hastekonto- eller betalingsbeskyttelse atskilt fra leverandørens anmeldelse. En fullstendig rapport gjør etterforskningen enklere; det lover ikke fjerning.
Hold funnene innenfor bevisene
Eksemplene er defensive beslutningshjelpemidler, ikke observerte påstander mot ekte personer eller nåværende tilbydere. Oppbevar autentiseringsbevis, virksomhetsbekreftelse og attribusjon separat. Gjeldende protokollkilder beskriver domenevalidering og klarerte resultatgrenser; de gir ikke bevis for manglende konto eller godkjenner publisering av en anklage.