# Виявлення фішингу в електронній пошті

Фішинг працює, видаючи себе за когось іншого. Spam Scanner перевіряє місця, де маскування стає помітним.


## Схожі домени

Кожен домен у посиланні зводиться до «скелета» за таблицею схожих символів Unicode і порівнюється майже зі 100 брендами, які найчастіше підробляють:

| Домен                               | Виявлено як                  |
| ----------------------------------- | ---------------------------- |
| `pаypal.com` (кирилична а)          | Схожі символи                |
| `paypa1-secure.top`                 | Замінені символи             |
| `xn--pple-43d.com`                  | Punycode для `аpple.com`     |
| `paypal.com.account-verify.example` | Бренд у чужому домені        |
| `paypall.com`                       | Відрізняється на одну літеру |

Бренди можна додавати, а власні домени — вносити до списку дозволених.


## Оманливі посилання

HTML-посилання, текст якого є однією адресою, а ціль — іншою, наприклад текст `https://www.paypal.com/signin`, що вказує на `http://paypa1-secure.top/login`, додає 3 бали.


## Імена відправника й підробка

* Ім’я відправника з назвою бренду («PayPal Security») з адреси на іншому домені.
* Ім’я відправника, що містить іншу адресу електронної пошти.
* Пошта, яка нібито надходить із власного домену отримувача, але не проходить SPF, DKIM і DMARC.


## Відомі шкідливі сайти

Хости посилань перевіряються через резолвер Cloudflare 1.1.1.2, який блокує відомі сайти зі шкідливим ПЗ і фішингом, а за бажанням — і через чорні списки доменів, як-от Spamhaus DBL.


## Вкладення

Фішинг також надходить у вигляді HTML-вкладень, які малюють підроблену сторінку входу без мережі, і виконуваних файлів, перейменованих на `.pdf`. Обидва типи розпізнаються за вмістом.

```sh
spamscanner scan message.eml
```

```text
SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top
```

[Як працюють перевірки](https://spamscanner.net/uk/docs/how-it-works/#phishing)