Домен і фішинг: як захистити клієнтів від обману?
Автор: Редакція Domeny.ForSale Опубліковано Оновлено
Коротко: Самої реєстрації основного домену недостатньо, оскільки шахраї можуть використати схожу адресу або підробити відправника повідомлення. Найкращий захист забезпечує поєднання захисту облікового запису в реєстратора, правильного налаштування SPF, DKIM і DMARC, моніторингу схожих доменів та чітких правил спілкування з клієнтами.
Як домен використовують у фішингу
Фішинг — це спроба виманити дані, гроші або доступ за допомогою повідомлення чи сайту, що видає себе за організацію, якій довіряють. Зловмиснику не обов’язково захоплювати справжній домен компанії. Частіше він реєструє оманливо схожу адресу, наприклад twojsklep-pomoc.pl замість twojsklep.pl, або замінює літеру іншим символом.
Окремий випадок — домени, у яких використовують символи з різних абеток. Деякі літери можуть виглядати майже однаково, хоча для системи це різні символи. Така адреса може нагадувати справжню назву, особливо на маленькому екрані.
Значок замка та префікс HTTPS не підтверджують доброчесності сайту. Вони передусім означають, що з’єднання з цим сайтом зашифроване. Шахрай також може отримати сертифікат для зареєстрованого ним домену.
Захистіть домен від захоплення
Захоплення основного домену небезпечніше за реєстрацію схожої адреси: воно дає змогу перенаправляти сайт, перехоплювати пошту або змінювати налаштування сервісів. До доступу до панелі реєстратора й системи DNS слід ставитися так само серйозно, як до доступу до корпоративного банкінгу.
Базова процедура передбачає:
- увімкнення багатофакторної автентифікації, бажано з використанням апаратного ключа або застосунку, а не лише SMS;
- використання унікального пароля, збереженого в менеджері паролів;
- обмеження кількості людей з адміністративним доступом;
- увімкнення блокування перенесення домену та сповіщень про зміни, якщо реєстратор їх пропонує;
- збереження відомостей про продовження реєстрації та налаштування резервного способу оплати;
- регулярну перевірку записів DNS, контактних даних та облікових записів, уповноважених вносити зміни.
DNSSEC захищає цілісність відповідей DNS за допомогою криптографічних підписів. Це допомагає зменшити ризик підроблення відповідей системи доменних імен, але не блокує реєстрацію схожих адрес і не замінює інших засобів захисту. Доступність і спосіб активації DNSSEC потрібно перевірити в реєстратора та оператора DNS.
Обмежте підроблення корпоративної пошти
SPF, DKIM і DMARC — це три механізми автентифікації пошти, які працюють разом. SPF визначає сервери, уповноважені надсилати повідомлення від імені домену. DKIM додає підпис, що дає змогу одержувачу перевірити, чи не було повідомлення змінено та чи підписане воно зазначеним доменом.
DMARC визначає, що сервер одержувача має зробити з повідомленням, яке не пройде відповідних перевірок, а також дає змогу отримувати звіти. Впровадження найкраще почати з інвентаризації всіх легітимних відправників: корпоративної пошти, розсилки, системи виставлення рахунків, платформи магазину та інструмента для опрацювання звернень.
Не варто одразу встановлювати найсуворішу політику без тестування. Пропущена система може тоді спричинити відхилення справжньої кореспонденції. Безпечний сценарій — налаштувати SPF і DKIM, увімкнути звітування DMARC, виправити налаштування виявлених джерел, а потім поступово перейти до карантину або відхилення повідомлень.
Ці механізми ускладнюють надсилання пошти з видимою адресою у справжньому домені. Однак вони не зупинять повідомлення, надіслане зі схожого домену, тому потрібні також моніторинг і навчання клієнтів.
Відстежуйте схожі адреси та визначайте пріоритети
Неможливо зареєструвати всі можливі варіанти з друкарськими помилками в усіх доменних зонах. Захисна реєстрація має сенс насамперед для найочевидніших помилок, ключових ринків і назв, безпосередньо пов’язаних із входом до облікового запису або платежами. Реєстрацію кожного додаткового домену потрібно продовжувати, а сам домен — контролювати, тому великий занедбаний портфель може сам стати джерелом ризику.
Моніторинг має охоплювати нові домени, схожі на назву бренду, зміни сертифікатів, результати пошуку та повідомлення клієнтів. Сама схожість назви не доводить шахрайства. Підставою для тривоги мають бути додаткові ознаки, як-от копія сторінки входу, платіжна форма, використання логотипа або повідомлення, що спрямовують клієнтів на підозрілу адресу.
Після виявлення зловживання потрібно зберегти докази: повну адресу сайту, знімки екрана, текст повідомлення разом із заголовками та час події. Далі можна повідомити про інцидент оператору хостингу, реєстратору, постачальнику поштового сервісу або браузера — залежно від способу атаки. Умови та необхідні форми відрізняються в різних постачальників послуг, тому їх потрібно перевірити в офіційній документації.
Навчіть клієнтів розпізнавати належний канал зв’язку
Клієнт має знати, з якого домену компанія надсилає повідомлення та за якою адресою відбувається вхід до облікового запису. Повідомлення про безпеку мають бути конкретними, наприклад: «Ми не просимо електронною поштою надати пароль або одноразовий код» та «Починайте оплату, самостійно увійшовши до особистого кабінету клієнта на нашому сайті».
Добре рішення — постійна адреса для повідомлень про підозрілі листи та коротка інструкція, доступна без входу до облікового запису. У повідомленнях щодо платежів або зміни даних не слід створювати зайвий тиск. Раптове прохання переказати кошти на новий рахунок потрібно підтверджувати через інший, заздалегідь узгоджений канал.
Перший практичний крок — аудит: перевірте обліковий запис у реєстратора, записи SPF, DKIM і DMARC та перелік усіх систем, які надсилають пошту від імені компанії. Лише на цій основі посилюйте поштову політику й запускайте моніторинг схожих доменів.
Дивіться також: DNSSEC — чи варто додатково захищати домен?
Читайте також
