A forfalskning klage er en ledetråd, ikke et fullstendig teknisk funn. Reporteren kan ha sett et misvisende visningsnavn, en lookalike-adresse, en videresendt melding eller en kompromittert legitim konto. Svar ved å bevare det de observerte, identifisere manglende bevis og beskytte eventuelle berørte forretningshandlinger. Ikke endre domenepolicy bare fordi et skjermbilde inneholder firmanavnet.
Samle det minste nyttige bevissettet
Be om den originale meldingen ved å bruke en godkjent sikker kanal når det er mulig, sammen med omtrentlig mottakstid, berørt postkasse og beskrivelse av den forespurte handlingen. Bevar originalen før redigering. Registrer hvem som leverte den, når den ble anskaffet og om den kom direkte fra mottakeren eller gjennom en mellommann. En videresendt instans kan utelate overskrifter som er avgjørende for etterforskningen.
Hold originale bevis under passende tilgangskontroll. Lag en separat delingskopi som fjerner unødvendige mottakerdetaljer, personlig innhold eller urelaterte vedlegg, samtidig som relevante identitetsfelt beholdes. Hash begge filene og dokumenter redaksjonene slik at en anmelder kan forstå hvorfor deres byte er forskjellige. Hashes binder en rekord til bytes; de beviser ikke at innholdet er autentisk eller at avsenderen ble identifisert riktig.
Identifiser det pålitelige autentiseringsbeviset
Finn systemet som evaluerte meldingen ved mottak. An Authentication-Results feltet er meningsfullt bare innenfor den etablerte tillitsgrensen, som RFC 8601 forklarer. Autentiseringsresultater. En generert eller ikke-klarert overskrift bør ikke forfremmes til en mottakerobservasjon bare fordi den bruker et gyldig format.
Sammenlign Fra, konvolutt og DKIM identiteter uten å blande en forbigående signatur med forretningsgodkjenning. DMARC adresserer justert domeneautentisering i stedet for alle former for etterligning. RFC 9989. Hvis den originale meldingen eller pålitelige loggene er utilgjengelige, hold utfallet uløst og beskriv hvilke ytterligere bevis som vil endre det.
Bygg en hypotetisk hendelsesbok
For undervisningssak DEMO-COMPLAINT-01, anta at en klager rapporterer en betalingsendringsforespørsel med synlig Fra billing@brand-pay.test . Faktiske meldingsbytes, mottakertidsstempler, pålitelige autentiseringsresultater og kundedetaljer er ikke oppgitt. Registrer original hash som utilgjengelig, ikke som et oppfunnet sammendrag. Klassifisering forblir foreløpig inntil relevante bevis er innhentet.
Tilordne foreslåtte neste handlinger separat: postoperasjoner henter den godkjente originale eksport- og pålitelige mottakskonteksten; finans verifiserer forespørselen gjennom en kjent kanal; hendelseslederen godkjenner all nødvendig deling eller inneslutning. Dette er illustrative roller, ikke ekte mennesker som takket ja til oppdrag.
For en senere ekte delingskopi, logg originalreferansen, hvert redigerte felt, formål, mottaker, godkjenning og resulterende filhash. Hold originalen uforanderlig. En endret hash kan identifisere endrede byte, men kan ikke fastslå hvem som har skrevet meldingen eller en kjede av forvaring som aldri ble registrert. Ingen originalfil, redigert prøve, hash-beregning eller ekstern hendelseshandling ble utført for dette skriftlige eksemplet.
Svar med et avgrenset funn
En nyttig kvittering angir hva som er mottatt, hva som forblir ukjent og hvem som etterforsker. Unngå å anklage en leverandør eller love at problemet er løst før identitets- og rutebevis støtter den konklusjonen. Hvis penger eller legitimasjon kan være i fare, følg organisasjonens hendelsesprosess umiddelbart mens bevisinnsamlingen fortsetter. FBI anbefaler uavhengig verifisering av betalingsforespørsler og kontoendringer. FBI veiledning.
Gi hvert manglende element en eier og en neste handling. E-postteamet kan hente mottakerlogger, forretningsteamet kan bekrefte forespørselen og sikkerhetslederen kan koordinere inneslutning. Hold ekstern deling innenfor godkjent omfang, spesielt når originalen inneholder sensitiv informasjon.
Lukk bare konklusjonene støttet av bevis. En bekreftet lookalike-forespørsel kan bli klassifisert mens leverandørattribusjon forblir uløst. En reparert legitim senderrute kan lukke autentiseringsfeilen uten å løse forretningsskaden. Bevar disse distinksjonene i den endelige hendelsespakken slik at den neste anmelderen ikke tar feil av et delvis funn som en fullstendig løsning.
Hold funnene innenfor bevisene
Eksemplene er defensive beslutningshjelpemidler, ikke observerte påstander mot ekte personer eller nåværende tilbydere. Oppbevar autentiseringsbevis, virksomhetsbekreftelse og attribusjon separat. Gjeldende protokollkilder beskriver domenevalidering og klarerte resultatgrenser; de gir ikke bevis for manglende konto eller godkjenner publisering av en anklage.