A spoofing klagomål är en ledtråd, inte en fullständig teknisk upptäckt. Reportern kan ha sett ett missvisande visningsnamn, en lookalike-adress, ett vidarebefordrat meddelande eller ett komprometterat legitimt konto. Svara genom att bevara det de observerade, identifiera saknade bevis och skydda alla berörda affärsåtgärder. Ändra inte domänpolicyn bara för att en skärmdump innehåller företagsnamnet.
Samla den minsta användbara bevisuppsättningen
Be om det ursprungliga meddelandet med hjälp av en godkänd säker kanal när det är möjligt, tillsammans med den ungefärliga mottagningstiden, påverkad brevlåda och beskrivning av den begärda åtgärden. Bevara originalet före redigering. Registrera vem som levererade den, när den förvärvades och om den kom direkt från mottagaren eller genom en mellanhand. Ett vidarebefordrat organ kan utelämna rubriker som är väsentliga för utredningen.
Håll originalbevis under lämplig åtkomstkontroll. Skapa en separat delningskopia som tar bort onödiga mottagaruppgifter, personligt innehåll eller orelaterade bilagor samtidigt som du behåller relevanta identitetsfält. Hasha båda filerna och dokumentera redigeringarna så att en granskare kan förstå varför deras byte skiljer sig. Hashes binder ett rekord till bytes; de bevisar inte att innehållet är autentiskt eller att avsändaren identifierades korrekt.
Identifiera pålitliga autentiseringsbevis
Hitta systemet som utvärderade meddelandet vid mottagandet. En Authentication-Results fältet är meningsfullt endast inom dess etablerade förtroendegräns, som RFC 8601 förklarar. Autentiseringsresultat. En genererad eller otillförlitlig rubrik bör inte befordras till en mottagarobservation bara för att den använder ett giltigt format.
Jämför Från, kuvert och DKIM identiteter utan att förväxla en passerande signatur med affärsgodkännande. DMARC adresserar anpassad domänautentisering snarare än alla former av identitetsstöld. RFC 9989. Om det ursprungliga meddelandet eller betrodda loggarna inte är tillgängliga, håll resultatet olöst och beskriv vilka ytterligare bevis som skulle ändra det.
Bygg en hypotetisk händelsebok
För undervisningsfallet DEMO-COMPLAINT-01, anta att en klagande rapporterar en begäran om betalningsändring med synlig Från billing@brand-pay.test . Faktiska meddelandebytes, mottagarens tidsstämplar, betrodda autentiseringsresultat och kundinformation tillhandahålls inte. Spela in originalhash som otillgänglig, inte som en påhittad sammanfattning. Klassificeringen förblir provisorisk tills relevant bevis har erhållits.
Tilldela föreslagna nästa åtgärder separat: postoperationer erhåller den godkända ursprungliga exporten och betrodda mottagningskontexten; finans verifierar begäran genom en känd kanal; incidentledningen godkänner all nödvändig delning eller inneslutning. Det här är illustrativa roller, inte riktiga personer som tackat ja till uppdrag.
För en senare verklig delningskopia, logga originalreferensen, varje redigerat fält, syfte, mottagare, godkännande och resulterande filhash. Behåll originalet oföränderligt. En ändrad hash kan identifiera ändrade bytes, men kan inte fastställa vem som skrev meddelandet eller en spårbarhetskedja som aldrig registrerades. Ingen originalfil, redigerat prov, hashberäkning eller extern incidentåtgärd utfördes för detta skrivna exempel.
Svara med ett avgränsat fynd
En användbar bekräftelse anger vad som har tagits emot, vad som förblir okänt och vem som utreder. Undvik att anklaga en leverantör eller lova att problemet är åtgärdat innan identitets- och vägbevis stödjer den slutsatsen. Om pengar eller referenser kan vara i fara, följ organisationens incidentprocess omedelbart medan bevisinsamlingen fortsätter. FBI rekommenderar oberoende verifiering av betalningsförfrågningar och kontoändringar. FBI vägledning.
Ge varje saknad föremål en ägare och en nästa åtgärd. E-postteamet kan hämta mottagarloggar, affärsteamet kan verifiera begäran och säkerhetsledaren kan koordinera inneslutningen. Håll extern delning inom godkänd räckvidd, särskilt när originalet innehåller känslig information.
Stäng endast de slutsatser som stöds av bevis. En bekräftad lookalike-förfrågan kan klassificeras medan leverantörstillskrivningen förblir olöst. En reparerad legitim sändningsrutt kan stänga autentiseringsdefekten utan att lösa affärsskadan. Bevara dessa distinktioner i det slutliga incidentpaketet så att nästa granskare inte misstar ett partiellt fynd för en fullständig lösning.
Håll fynden inom bevisen
Exemplen är defensiva beslutshjälpmedel, inte observerade anklagelser mot verkliga personer eller nuvarande leverantörer. Behåll autentiseringsbevis, affärsverifiering och attribution separat. Aktuella protokollkällor beskriver domänvalidering och betrodda resultatgränser; de tillhandahåller inte bevis för saknat konto eller godkänner publicering av en anklagelse.