Domena a phishing — jak chronić klientów przed podszywaniem się?
Autor: Redakcja Domeny.ForSale Opublikowano Zaktualizowano
W skrócie: Sama rejestracja głównej domeny nie wystarczy, ponieważ oszuści mogą użyć podobnego adresu albo sfałszować nadawcę wiadomości. Najlepszą ochronę daje połączenie zabezpieczeń konta u rejestratora, poprawnej konfiguracji SPF, DKIM i DMARC, monitorowania podobnych domen oraz jasnych zasad komunikacji z klientami.
Jak domena jest wykorzystywana w phishingu
Phishing to próba wyłudzenia danych, pieniędzy lub dostępu poprzez wiadomość albo stronę udającą zaufaną organizację. Atakujący nie musi przejmować prawdziwej domeny firmy. Częściej rejestruje adres łudząco podobny, na przykład twojsklep-pomoc.pl zamiast twojsklep.pl, albo zastępuje literę innym znakiem.
Szczególnym przypadkiem są domeny wykorzystujące znaki z różnych alfabetów. Niektóre litery mogą wyglądać niemal identycznie, choć dla systemu są innymi znakami. Taki adres może przypominać właściwą nazwę, zwłaszcza na małym ekranie.
Kłódka i prefiks HTTPS nie potwierdzają uczciwości strony. Oznaczają przede wszystkim, że połączenie z daną witryną jest szyfrowane. Oszust również może uzyskać certyfikat dla zarejestrowanej przez siebie domeny.
Zabezpiecz domenę przed przejęciem
Przejęcie głównej domeny jest groźniejsze niż rejestracja podobnego adresu: pozwala przekierować stronę, przechwytywać pocztę albo zmieniać ustawienia usług. Dostęp do panelu rejestratora i systemu DNS powinien być traktowany tak samo poważnie jak dostęp do bankowości firmowej.
Podstawowa procedura obejmuje:
- włączenie uwierzytelniania wieloskładnikowego, najlepiej z użyciem klucza sprzętowego lub aplikacji zamiast samego SMS-a;
- zastosowanie unikalnego hasła przechowywanego w menedżerze haseł;
- ograniczenie liczby osób mających dostęp administracyjny;
- włączenie blokady transferu domeny oraz powiadomień o zmianach, jeśli rejestrator je oferuje;
- zapisanie danych o odnowieniu i ustawienie zapasowej metody płatności;
- regularne sprawdzanie rekordów DNS, kontaktów oraz kont uprawnionych do zmian.
DNSSEC zabezpiecza integralność odpowiedzi DNS za pomocą podpisów kryptograficznych. Pomaga ograniczać podszywanie się pod odpowiedzi systemu nazw domen, ale nie blokuje rejestracji podobnych adresów i nie zastępuje pozostałych zabezpieczeń. Dostępność oraz sposób aktywacji DNSSEC trzeba sprawdzić u rejestratora i operatora DNS.
Ogranicz fałszowanie firmowej poczty
SPF, DKIM i DMARC to trzy współpracujące mechanizmy uwierzytelniania poczty. SPF wskazuje serwery uprawnione do wysyłania wiadomości dla domeny. DKIM dodaje podpis pozwalający odbiorcy sprawdzić, czy wiadomość nie została zmieniona i czy została podpisana przez wskazaną domenę.
DMARC określa, co serwer odbiorcy ma zrobić z wiadomością, która nie przejdzie odpowiednich kontroli, oraz umożliwia otrzymywanie raportów. Wdrożenie najlepiej rozpocząć od inwentaryzacji wszystkich legalnych nadawców: firmowej poczty, newslettera, systemu faktur, platformy sklepowej i narzędzia do obsługi zgłoszeń.
Nie należy od razu ustawiać najbardziej restrykcyjnej polityki bez testów. Pominięty system może wtedy spowodować odrzucanie prawidłowej korespondencji. Bezpieczny scenariusz to skonfigurowanie SPF i DKIM, uruchomienie raportowania DMARC, poprawienie wykrytych źródeł, a następnie stopniowe przejście do kwarantanny lub odrzucania wiadomości.
Mechanizmy te utrudniają wysyłanie poczty z widocznym adresem w prawdziwej domenie. Nie zatrzymają jednak wiadomości wysłanej z podobnej domeny, dlatego potrzebne są również monitoring i edukacja klientów.
Monitoruj podobne adresy i ustal priorytety
Nie da się zarejestrować wszystkich możliwych literówek we wszystkich rozszerzeniach. Ochronne rejestracje mają sens przede wszystkim dla najbardziej oczywistych pomyłek, kluczowych rynków i nazw bezpośrednio związanych z logowaniem lub płatnościami. Każdą dodatkową domenę trzeba odnawiać i kontrolować, więc duży, zaniedbany portfel może sam stać się ryzykiem.
Monitoring powinien obejmować nowe domeny podobne do marki, zmiany certyfikatów, wyniki wyszukiwania oraz zgłoszenia klientów. Samo podobieństwo nazwy nie dowodzi oszustwa. Alarm powinny podnosić dopiero dodatkowe sygnały, takie jak kopia strony logowania, formularz płatności, użycie logo czy wiadomości kierujące klientów do podejrzanego adresu.
Po wykryciu nadużycia należy zachować dowody: pełny adres strony, zrzuty ekranu, treść wiadomości wraz z nagłówkami oraz czas zdarzenia. Następnie można zgłosić incydent operatorowi hostingu, rejestratorowi, dostawcy poczty lub przeglądarki, zależnie od sposobu ataku. Warunki i wymagane formularze różnią się między usługodawcami, dlatego trzeba potwierdzić je w ich oficjalnej dokumentacji.
Naucz klientów rozpoznawać właściwy kanał
Klient powinien wiedzieć, z jakiej domeny firma wysyła wiadomości i pod jakim adresem odbywa się logowanie. Komunikaty bezpieczeństwa muszą być konkretne, na przykład: „Nie prosimy e-mailem o podanie hasła ani kodu jednorazowego” oraz „Płatność rozpocznij po samodzielnym wejściu na nasze konto klienta”.
Dobrym rozwiązaniem jest stały adres do zgłaszania podejrzanych wiadomości oraz krótka instrukcja dostępna bez logowania. W wiadomościach dotyczących płatności lub zmiany danych nie należy wywierać niepotrzebnej presji. Nagła prośba o przelew na nowy rachunek powinna podlegać potwierdzeniu drugim, wcześniej uzgodnionym kanałem.
Pierwszym praktycznym krokiem jest audyt: sprawdź konto rejestratora, rekordy SPF, DKIM i DMARC oraz listę wszystkich systemów wysyłających pocztę w imieniu firmy. Dopiero na tej podstawie zaostrzaj politykę pocztową i uruchamiaj monitoring podobnych domen.
Zobacz też: DNSSEC — czy warto zabezpieczyć domenę dodatkowo?
Przeczytaj także
