A falsificação a reclamação é uma pista, não uma conclusão técnica completa. O repórter pode ter visto um nome de exibição enganoso, um endereço semelhante, uma mensagem encaminhada ou uma conta legítima comprometida. Responda preservando o que observaram, identificando evidências faltantes e protegendo qualquer ação empresarial afetada. Não altere a política de domínio apenas porque uma captura de tela contém o nome da empresa.
Colete o menor conjunto de evidências úteis
Solicite a mensagem original usando um canal seguro aprovado quando possível, juntamente com o horário aproximado de recebimento, a caixa de correio afetada e a descrição da ação solicitada. Preserve o original antes da redação. Registrar quem o forneceu, quando foi adquirido e se veio diretamente do destinatário ou através de intermediário. Um corpo encaminhado pode omitir cabeçalhos essenciais para a investigação.
Mantenha as evidências originais sob controle de acesso apropriado. Crie uma cópia de compartilhamento separada que remova detalhes desnecessários do destinatário, conteúdo pessoal ou anexos não relacionados, mantendo campos de identidade relevantes. Faça hash de ambos os arquivos e documente as redações para que um revisor possa entender por que seus bytes são diferentes. Hashes vinculados um recorde para bytes; não provam que o conteúdo é autêntico ou que o remetente foi identificado corretamente.
Identifique a evidência de autenticação confiável
Encontre o sistema que avaliou a mensagem no recebimento. Um Authentication-Results campo é significativo apenas dentro de seu limite de confiança estabelecido, como explica RFC 8601 . Resultados de autenticação. Um cabeçalho gerado ou não confiável não deve ser promovido a uma observação do receptor simplesmente porque usa um formato válido.
Compare De, envelope e DKIM identidades sem confundir uma assinatura passageira com aprovação comercial. DMARC aborda a autenticação de domínio alinhada em vez de todas as formas de representação. RFC 9989. Se a mensagem original ou os logs confiáveis não estiverem disponíveis, mantenha o resultado sem solução e descreva quais evidências adicionais poderiam alterá-lo.
Crie um livro-razão de incidentes hipotético
Para o caso de ensino DEMO-COMPLAINT-01, suponha que um reclamante relate uma solicitação de alteração de pagamento com visível From billing@brand-pay.test . Os bytes reais da mensagem, os carimbos de data/hora do receptor, os resultados de autenticação confiável e os detalhes do cliente não são fornecidos. Registre o hash original como indisponível, não como um resumo inventado. A classificação permanece provisória até que sejam obtidas provas relevantes.
Atribua as próximas ações propostas separadamente: as operações de correio obtêm a exportação original aprovada e o contexto de recebimento confiável; finanças verifica a solicitação por meio de um canal conhecido; o líder do incidente autoriza qualquer compartilhamento ou contenção necessária. Estas são funções ilustrativas, não pessoas reais que aceitaram atribuições.
Para uma cópia de compartilhamento real posterior, registre a referência original, cada campo editado, finalidade, destinatário, aprovação e hash do arquivo resultante. Mantenha o original imutável. Um hash alterado pode identificar bytes alterados, mas não pode estabelecer quem foi o autor da mensagem ou uma cadeia de custódia que nunca foi registrada. Nenhum arquivo original, amostra editada, cálculo de hash ou ação de incidente externo foi executado para este exemplo escrito.
Responda com uma descoberta limitada
Um reconhecimento útil indica o que foi recebido, o que permanece desconhecido e quem está investigando. Evite acusar um fornecedor ou prometer que o problema será resolvido antes que as evidências de identidade e rota apoiem essa conclusão. Se dinheiro ou credenciais estiverem em risco, siga imediatamente o processo de incidente da organização enquanto a coleta de evidências continua. O FBI recomenda verificação independente de solicitações de pagamento e alterações de conta. Orientação do FBI.
Dê a cada item perdido um dono e uma próxima ação. A equipe de correio pode recuperar os logs do receptor, a equipe de negócios pode verificar a solicitação e o líder de segurança pode coordenar a contenção. Mantenha o compartilhamento externo dentro do escopo aprovado, especialmente quando o original contém informações confidenciais.
Feche apenas as conclusões apoiadas por evidências. Uma solicitação semelhante confirmada pode ser classificada enquanto a atribuição do provedor permanece sem solução. Uma rota de envio legítima reparada pode resolver o defeito de autenticação sem resolver o dano comercial. Preserve essas distinções no pacote final do incidente para que o próximo revisor não confunda uma conclusão parcial com uma resolução completa.
Mantenha as descobertas dentro das evidências
Os exemplos são auxílios à decisão defensiva, e não alegações observadas contra pessoas reais ou prestadores atuais. Retenha evidências de autenticação, verificação comercial e atribuição separadamente. As fontes de protocolo atuais descrevem a validação de domínio e os limites de resultados confiáveis; eles não fornecem as provas da conta desaparecida nem autorizam a publicação de uma acusação.