Upptäck nätfiske i e-post

Nätfiske fungerar genom att se ut som någon annan. Spam Scanner kontrollerar de ställen där förklädnaden syns.

Förväxlingsbara domäner#

Varje domän i en länk reduceras till ett skelett med Unicodes tabell över förväxlingsbara tecken och jämförs med nästan 100 varumärken som ofta utges för:

Varumärken kan läggas till, och domäner du äger kan tillåtas.

Vilseledande länkar#

En HTML-länk vars text är en adress och vars mål är en annan, till exempel texten https://www.paypal.com/signin som pekar på http://paypa1-secure.top/login, ger 3 poäng.

Visningsnamn och förfalskning#

• Ett visningsnamn som innehåller ett varumärke (”PayPal Security”) från en adress på en annan domän.
• Ett visningsnamn som innehåller en annan e-postadress.
• E-post som påstår sig komma från mottagarens egen domän och som inte klarar SPFSender Policy Framework: en DNS-post som listar de servrar som får skicka e-post för en domän., DKIMDomainKeys Identified Mail: en signatur över ett meddelande, som kontrolleras med en publik nyckel publicerad i avsändarens DNS. och DMARCEn DNS-policy som talar om för mottagare vad de ska göra när e-post som utger sig för att komma från en domän inte klarar SPF- och DKIM-anpassningen..

Kända skadliga webbplatser#

Länkarnas värdar slås upp hos Cloudflares resolver 1.1.1.2, som blockerar kända webbplatser med skadlig kod och nätfiske, och valfritt i domänblocklistor som Spamhaus DBL.

Bilagor#

Nätfiske kommer också som HTML-bilagor som ritar upp en falsk inloggningssida offline, och som körbara filer som bytt namn till .pdf. Båda hittas genom sitt innehåll.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Så fungerar kontrollerna