Sähköpostin tietojenkalastelun tunnistus

Tietojenkalastelu perustuu siihen, että lähettäjä näyttää joltakulta muulta. Spam Scanner tarkistaa kohdat, joissa naamiointi paljastuu.

Samannäköiset verkkotunnukset#

Jokainen linkin verkkotunnus pelkistetään luurangoksi Unicoden sekoitettavien merkkien taulukon avulla ja sitä verrataan lähes 100 yleisesti jäljiteltyyn tuotemerkkiin:

Tuotemerkkejä voi lisätä, ja omistamasi verkkotunnukset voi lisätä sallittujen listalle.

Harhaanjohtavat linkit#

HTML-linkki, jonka teksti on yksi osoite ja kohde toinen, kuten teksti https://www.paypal.com/signin, joka osoittaa kohteeseen http://paypa1-secure.top/login, lisää 3 pistettä.

Näyttönimet ja väärentäminen#

• Tuotemerkin sisältävä näyttönimi ("PayPal Security") toisen verkkotunnuksen osoitteesta.
• Näyttönimi, joka sisältää eri sähköpostiosoitteen.
• Posti, joka väittää tulevansa vastaanottajan omasta verkkotunnuksesta eikä läpäise SPFSender Policy Framework: DNS-tietue, joka luettelee palvelimet, joilla on lupa lähettää postia verkkotunnuksen nimissä.:ää, DKIMDomainKeys Identified Mail: viestin allekirjoitus, joka tarkistetaan lähettäjän DNS:ään julkaistulla julkisella avaimella.:ää ja DMARCDNS-käytäntö, joka kertoo vastaanottajille, mitä tehdä, kun verkkotunnuksen nimissä lähetetty viesti ei läpäise SPF- ja DKIM-kohdistusta.:ia.

Tunnetut haitalliset sivustot#

Linkkien isännät tarkistetaan Cloudflaren DNS-palvelusta 1.1.1.2, joka estää tunnetut haittaohjelma- ja tietojenkalastelusivustot, ja valinnaisesti verkkotunnusten estolistoista, kuten Spamhaus DBL:stä.

Liitteet#

Tietojenkalastelu saapuu myös HTML-liitteinä, jotka piirtävät väärennetyn kirjautumissivun ilman verkkoyhteyttä, sekä suoritettavina tiedostoina, jotka on nimetty uudelleen muotoon .pdf. Molemmat tunnistetaan sisällön perusteella.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Miten tarkistukset toimivat