Oppdage phishing i e-post

Phishing virker ved å se ut som noen andre. Spam Scanner sjekker stedene der forkledningen synes.

Forvekslingsdomener#

Hvert domene i en lenke reduseres til et skjelett med Unicode-tabellen over forvekslbare tegn og sammenlignes med nesten 100 merkenavn som ofte etterlignes:

Merkenavn kan legges til, og domener du eier, kan settes på tillatelseslisten.

Villedende lenker#

En HTML-lenke der teksten er én adresse og målet en annen, for eksempel teksten https://www.paypal.com/signin som peker til http://paypa1-secure.top/login, gir 3 poeng.

Visningsnavn og forfalskning#

• Et visningsnavn som inneholder et merkenavn («PayPal Security»), fra en adresse på et annet domene.
• Et visningsnavn som inneholder en annen e-postadresse.
• E-post som utgir seg for å komme fra mottakerens eget domene og ikke består SPFSender Policy Framework: en DNS-post som lister opp serverne som har lov til å sende e-post for et domene., DKIMDomainKeys Identified Mail: en signatur over en melding, kontrollert med en offentlig nøkkel publisert i avsenderens DNS. og DMARCEn DNS-policy som forteller mottakere hva de skal gjøre når e-post som utgir seg for å komme fra et domene, ikke består SPF- og DKIM-justering..

Kjente skadelige nettsteder#

Vertene i lenker slås opp på Cloudflares resolver 1.1.1.2, som blokkerer kjente nettsteder for skadevare og phishing, og eventuelt på domeneblokkeringslister som Spamhaus DBL.

Vedlegg#

Phishing kommer også som HTML-vedlegg som tegner en falsk innloggingsside uten nett, og som kjørbare filer omdøpt til .pdf. Begge finnes ut fra innholdet.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Slik virker sjekkene