Ett lookalike namn är en ledtråd, inte ett fullständigt missbruksfall. Rapporten ska visa vad som hände, varifrån relevanta bevis kom och vad den mottagande leverantören kan undersöka. Bevara originalet innan du gör en bekväm delningskopia. Separat likhet, observerat beteende och härledd ansvar.
Fånga den exakta identiteten
Spela in hela domänens stavning, den synliga Från-adressen, Svara-Till, kuvertidentiteten där tillgänglig och eventuella relevanta webbadresser utan att aktivera den. En skärmdump kan visa efterbildningen som ses av en mottagare, men den bevarar inte alla meddelanderubriker. Exportera råmeddelandet genom en auktoriserad process och behåll dess ursprungliga byte. Behåll den mottagna tiden med tidszon och särskilj den från fältet Datum som tillhandahålls av avsändaren.
DMARC gäller förhållandet mellan autentiserade domäner och författarens domän. Det gör inte en visuellt liknande domän till en del av din domäns policy. En lookalike kan autentisera sig själv. RFC 9989. Ange den distinktionen i rapporten så att ett godkänt inte raderar den observerade identiteten.
Fastställ härkomst före tillskrivning
En Authentication-Results fältet är meningsfullt endast inom ett känt förtroendearrangemang. En angripare kan sätta in ett övertygande fält. Fråga det mottagande e-postteamet om dess betrodda resultat och korrelera dem med meddelandeposten; behandla inte varje kopierad rubrik som mottagarbevis. RFC 8601.
Behåll en ärendeägare, insamlingsmetod, insamlingstid, originalfilens hash och åtkomstplats. Hashing hjälper till att identifiera samma byte senare; det bevisar inte vem som skickade dem eller att innehållet är sanningsenligt. Bevara käll-IP:er som ledtrådar för routing, inte avgörande personlig attribution. Delad infrastruktur och mellanliggande hopp kräver ytterligare bekräftelse.
Bygg ett minimalt delningspaket
Förbered en incidentsammanfattning som anger exakt observerat beteende, påverkad identitet, bevistider, känd påverkan och begärd utredning. Bifoga en redigerad kopia först efter att ha bestämt vilka fält den tilltänkta mottagaren behöver. Spara en transformationslogg som länkar den till originalet. Ta inte bort själva webbadressen eller domänen som behövs för att förstå anklagelsen utan att tillhandahålla den via en lämplig säker kanal.
ICANN:s vägledning för registrar skiljer åtföljande bevis från en ren anklagelse och ger exempel som webbadressen för missbruk och bevis för nätfiske representation. Dess avtalsram gäller gTLD-registratorer och register, inte varje värd- eller landskodsdomäntvist. ICANN rådgivande.
Följ en avgränsad skriftlig bevisbok
Antag att fallet DEMO-ABUSE-01 beskriver synlig från billing@brand-payments.test och en opålitlig rubrikpåstående med namnet brand.test. Bevara båda värdena, men registrera betrodd mottagarautentisering som otillgänglig. Den rapporterade identiteten och det kopierade påståendet skiljer sig åt; inte heller bevisar vem som skötte avsändaren. Inga originalmeddelandebytes, insamlingstid eller beräknade hash tillhandahålls här.
Den föreslagna insamlingsreskontran innehåller: ärendeägare, auktoriserad samlare, insamlingsmetod, mottagarobserverad tid och tidszon, ursprunglig filplats och originalhash. Delningsreskontran innehåller separat: avsedd mottagare, godkänt ändamål, redigerade fält, derivatplats och derivathash. För det här exemplet förblir alla faktiska fil- och godkännandefält inte angivna. Fyll inte luckor med rimliga värden.
Nästa åtgärd är att skaffa en betrodd mottagarexport och dokumentera det observerade missbruket innan ett mottagarspecifikt delningsbeslut. Ingen syntetisk fil genererades, hash beräknades, domänen slogs upp, leverantören kontaktades eller borttagning begärdes för denna undervisningsrevision. Huvudboken illustrerar bevisdisciplin, inte en ifylld missbruksrapport.
Innan en riktig inlämning, verifiera destinationen oberoende, skaffa tillstånd att dela relevant data och registrera inlämningskvittot. Håll brådskande konto- eller betalningsskydd åtskilt från leverantörens granskning. En fullständig rapport underlättar utredningen; det lovar inte borttagning.
Håll fynden inom bevisen
Exemplen är defensiva beslutshjälpmedel, inte observerade anklagelser mot verkliga personer eller nuvarande leverantörer. Behåll autentiseringsbevis, affärsverifiering och attribution separat. Aktuella protokollkällor beskriver domänvalidering och betrodda resultatgränser; de tillhandahåller inte bevis för saknat konto eller godkänner publicering av en anklagelse.