# Обнаружение фишинга в почте

Фишинг работает за счёт того, что выдаёт себя за кого-то другого. Spam Scanner проверяет места, где маскировка становится заметной.


## Похожие домены

Каждый домен в ссылке сводится к скелету по таблице похожих символов Unicode и сравнивается почти со 100 брендами, которые часто подделывают:

| Домен                               | Распознаётся как         |
| ----------------------------------- | ------------------------ |
| `pаypal.com` (кириллическая «а»)    | Похожие символы          |
| `paypa1-secure.top`                 | Переставленные символы   |
| `xn--pple-43d.com`                  | Punycode для `аpple.com` |
| `paypal.com.account-verify.example` | Бренд в чужом домене     |
| `paypall.com`                       | Отличие в одну букву     |

Можно добавлять бренды, а собственные домены вносить в белый список.


## Обманные ссылки

HTML-ссылка, текст которой — один адрес, а цель — другой, например текст `https://www.paypal.com/signin` со ссылкой на `http://paypa1-secure.top/login`, добавляет 3 балла.


## Отображаемые имена и подделка

* Отображаемое имя с названием бренда («PayPal Security») у адреса из другого домена.
* Отображаемое имя, содержащее другой адрес электронной почты.
* Письмо, которое выдаёт себя за отправленное из собственного домена получателя и не проходит SPF, DKIM и DMARC.


## Известные вредоносные сайты

Хосты из ссылок проверяются через резолвер Cloudflare 1.1.1.2, который блокирует известные вредоносные и фишинговые сайты, и по желанию через чёрные списки доменов, такие как Spamhaus DBL.


## Вложения

Фишинг также приходит в виде HTML-вложений, которые рисуют поддельную страницу входа без подключения к сети, и исполняемых файлов, переименованных в `.pdf`. И то и другое распознаётся по содержимому.

```sh
spamscanner scan message.eml
```

```text
SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top
```

[Как работают проверки](https://spamscanner.net/ru/docs/how-it-works/#phishing)