Phishingdetectie voor e-mail

Phishing werkt door zich voor te doen als iemand anders. Spam Scanner controleert de plekken waar de vermomming zichtbaar wordt.

Lookalike-domeinen#

Elk domein in een link wordt met de Unicode-tabel van verwarrende tekens tot een skelet teruggebracht en vergeleken met bijna 100 merken die vaak worden nagebootst:

Merken kunnen worden toegevoegd, en domeinen die van jou zijn, kunnen op de allowlist.

Misleidende links#

Een HTML-link waarvan de tekst het ene adres is en het doel een ander, zoals de tekst https://www.paypal.com/signin die naar http://paypa1-secure.top/login wijst, voegt 3 punten toe.

Weergavenamen en spoofing#

• Een weergavenaam met een merk erin („PayPal Security”) vanaf een adres op een ander domein.
• Een weergavenaam met een ander e-mailadres erin.
• Mail die zegt van het eigen domein van de ontvanger te komen en niet slaagt voor SPFSender Policy Framework: een DNS-record met de servers die mail voor een domein mogen versturen., DKIMDomainKeys Identified Mail: een handtekening over een bericht, gecontroleerd met een publieke sleutel die in de DNS van de afzender staat. en DMARCEen DNS-beleid dat ontvangers vertelt wat ze moeten doen als mail die zich op een domein beroept niet slaagt voor de SPF- en DKIM-uitlijning..

Bekende kwaadaardige sites#

Linkhosts worden opgezocht op de resolver 1.1.1.2 van Cloudflare, die bekende malware- en phishingsites blokkeert, en optioneel op domeinblocklists zoals Spamhaus DBL.

Bijlagen#

Phishing komt ook binnen als HTML-bijlagen die offline een nep-inlogpagina tonen, en als uitvoerbare bestanden die zijn hernoemd naar .pdf. Beide worden aan hun inhoud herkend.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Hoe de controles werken