En delegert assistent, en støtteplattform og en e-postarbeidsflyt kan plassere forskjellige adresser i Fra, Avsender og Svar-Til. En svindler kan utnytte de samme forskjellene. Det nyttige spørsmålet er om identitetene og svardestinasjonen samsvarer med en bekreftet forretningsordning, støttet av pålitelige autentiseringsbevis der det er aktuelt.
Les feltene i henhold til deres roller
Fra identifiserer forfatteren eller forfatterne av meldingen. Avsender identifiserer postkassen til agenten som er ansvarlig for den faktiske overføringen når den er forskjellig fra forfatteren. Svar-Til indikerer hvor forfatteren foreslår at svar skal sendes. Når Svar-Til er fraværende, skal svar som standard sendes til Fra med mindre mottakeren har annen kunnskap. Dette er semantikk i meldingsformat, ikke uavhengig bevis på at de navngitte personene autoriserte meldingen. RFC 5322 avsnitt 3.6.2.
Et visningsnavn kan si «Finans» mens den faktiske adressen hører hjemme et annet sted. Utvid og undersøk adressen, men ikke behandle en kjent eksakt adresse som tilstrekkelig heller: overskriftstekst er avsenderkontrollert med mindre støttet av autentisering og passende herkomst. Hvis Fra inneholder mer enn én postboks, krever RFC 5322 et avsenderfelt som inneholder én postboks. Bevar det skillet i stedet for å kollapse flere forfattere til én identitet.
Hold autentiseringsinndata atskilt
DMARC evaluerer forfatter-domene-forholdet med relevant SPF eller DKIM autentiserte identifikatorer. Svar-til og avsender er ikke erstatning justering innganger. Et samsvarende svar-til-domene kan ikke redde en mislykket beslutning om justering av forfatter-domene. Omvendt kan en annen svar-til være legitim og etablerer ikke i seg selv DMARC feil. RFC 9989.
Et domeneautentiseringspass godkjenner ikke en bankkontoendring, legitimasjonsforespørsel eller ny mottaker for konfidensielt materiale. Behandle forretningsinstruksjonen separat, spesielt når et svar vil avsløre sensitiv informasjon eller akseptere en følgelig forpliktelse.
Inspiser et avgrenset eksempel
Vurder en hypotetisk støttemelding med From: support@brand.example , Sender: operator@service.example og Reply-To: case123@service.example . Merkets godkjente støttearbeidsflyt kan forklare alle tre rollene. En separat forespørsel om å sende økonomiske poster til en ukjent svaradresse trenger uavhengig bekreftelse selv om forfatterdomenet autentiserer. Dette er oppfunne sammenligninger, ikke en analysert melding eller et autentisert tjenesteforhold.
For en ekte melding, sammenligne feltene med den godkjente tjenestekonfigurasjonen og tidligere verifisert arbeidsflyt. Spør om organisasjonen med hensikt sender støttesvar til den destinasjonen. Bekreft en overraskende eller stor forespørsel gjennom en etablert uavhengig kanal, ikke telefonnummeret eller koblingen som er oppgitt i mistenktmeldingen.
Registrer en kontekstuell beslutning
Dokumenter den påståtte forfatteren, overføringsagenten, svardestinasjonen, pålitelig autentiseringsresultat og forretningsverifiseringsresultat. Hvis forskjellene samsvarer med en godkjent ordning, noter hvorfor de forventes. Hvis destinasjonen er uforklarlig, hold følgehandlingen mens eieren bekrefter den. Unngå generelle regler som alle tre domenene må samsvare med, som kan bryte legitim delegering uten å gi et fullstendig svindelforsvar.
Avslutt undersøkelsen med mottakerens neste sikre handling. Det kan være å svare gjennom en kjent støtteportal, bekrefte en forespørsel med en etablert kontakt, eller eskalere en mistenkt etterligning med den opprinnelige meldingen bevart.
Bekreft arbeidsflyten før svaret
- Utvid de faktiske fra-, avsender- og svar-til-adressene.
- Kartforfatter, sendeagent og foreslått svarmål separat.
- Bekreft pålitelig autentisering uten å behandle det som forretningsgodkjenning.
- Sjekk uventede destinasjoner gjennom en etablert uavhengig kanal.
- Registrer om den godkjente ordningen forklarer forskjellen, eller hold den påfølgende handlingen.