Proč dostávám spam z mé vlastní e-mailové adresy?

Stalo se vám někdy, že jste otevřeli e-mail a zjistili jste, že se jedná o nevyžádanou poštu nebo pokus o vydírání, a přitom to vypadalo, jako by odesílatelem byla vaše vlastní e-mailová adresa? Nezoufejte, nejste v tom sami. Takové falšování e-mailové adresy se nazývá spoofing a bohužel máte jen málo možností, jak tomu zabránit.

Jakým způsobem podvodníci zneužívají vaši e-mailovou adresu?

Spoofing představuje manipulaci s e-mailovou adresou tak, aby vypadala, že zpráva pochází od někoho jiného, než je skutečný odesílatel. Tato technika se často využívá s cílem oklamat vás, abyste uvěřili, že e-mail pochází od vám známé osoby nebo od renomované instituce, například banky.

Bohužel, e-mailový spoofing je mimořádně jednoduchý. E-mailové systémy obvykle nemají dostatečná bezpečnostní opatření, která by ověřila, zda adresa uvedená v poli „Od“ skutečně patří odesílateli. Je to podobné jako s odesíláním klasické pošty. Na obálku můžete napsat jakoukoliv zpáteční adresu, aniž by pošta mohla ověřit, zda na ní skutečně bydlíte. Stejný princip platí i u e-mailů.

Některé online služby, jako je například Outlook.com, se snaží ověřovat odesílatele, ale existují nástroje, které umožňují vyplnit libovolnou adresu odesílatele. To je snadné, jako si vytvořit vlastní SMTP server. Podvodník potřebuje jen vaši adresu, kterou pravděpodobně získal z jednoho z mnoha úniků dat.

Proč podvodníci falšují vaše adresy?

Existují dva hlavní důvody, proč podvodníci falšují vaši e-mailovou adresu. Prvním z nich je obejití filtrů proti spamu. Pokud si odešlete e-mail sami, pravděpodobně se jedná o důležitou zprávu, kterou nechcete mít označenou jako spam. Podvodníci se proto spoléhají na to, že spamové filtry nebudou jejich zprávu blokovat. Existují sice nástroje pro identifikaci e-mailů odeslaných z jiných domén, ale mnoho poskytovatelů e-mailových služeb je bohužel nevyužívá.

Druhým důvodem je snaha o získání důvěryhodnosti. Podvodníci často tvrdí, že váš e-mailový účet byl napaden. Skutečnost, že jste si e-mail poslali sami, má posloužit jako důkaz, že k napadení skutečně došlo. Mohou také přidat heslo nebo telefonní číslo, které získali z databáze napadené hackery, aby dodali falešný důkaz.

Podvodník pak obvykle tvrdí, že má o vás kompromitující informace nebo fotky z webové kamery. Následně vám vyhrožuje, že tyto informace zveřejní vašim kontaktům, pokud nezaplatíte výkupné. Na první pohled to může působit důvěryhodně, protože se zdá, že mají přístup k vašemu e-mailu. Ale ve skutečnosti jde o falešný důkaz.

Jak s tímto problémem bojují poskytovatelé e-mailových služeb?

Zdá se, že tento e-mail pochází z vaší osobní adresy, ale kontrola hlavičky odhalí podvod.

Snadné falšování e-mailových adres není nový problém. Poskytovatelé e-mailů nechtějí, abyste byli obtěžováni spamem, a proto vyvinuli nástroje pro boj s tímto nešvarem.

Prvním z nich je Sender Policy Framework (SPF), který funguje na základě základních principů. Každá e-mailová doména má sadu DNS záznamů, které se používají k směrování provozu na správný server. SPF záznam spolupracuje s těmito DNS záznamy. Když odešlete e-mail, přijímající služba porovná vaši doménovou adresu (@gmail.com) s vaší IP adresou a záznamem SPF. Pokud odesíláte e-mail z adresy Gmail, musí být zpráva odeslána ze zařízení Google.

Bohužel, samotný SPF tento problém nevyřeší. Je totiž nutné, aby byly SPF záznamy správně udržovány u každé domény, což se ne vždy děje. Podvodníci navíc tento problém snadno obcházejí. Když obdržíte e-mail, zobrazuje se vám často jen jméno odesílatele, nikoli celá adresa. Spammeři pak vyplní jinou e-mailovou adresu pro zobrazené jméno a jinou pro skutečnou odesílací adresu, která se shoduje s SPF záznamem. Takto se jim daří obejít jak vaši ostražitost, tak i SPF filtry.

Společnosti se také musí rozhodnout, co s výsledky SPF udělají. Často se spokojí s propuštěním e-mailů, místo aby riskovaly, že systém nedoručí důležitou zprávu. SPF totiž neobsahuje pravidla, co s informacemi dělat, poskytuje pouze výsledky kontroly.

Microsoft, Google a další zavedli systém Domain-based Message Authentication, Reporting and Conformance (DMARC) pro řešení těchto problémů. Spolupracuje s SPF a stanovuje pravidla, co dělat s e-maily označenými jako potenciální spam. DMARC nejdříve zkontroluje výsledek SPF skenování. Pokud je výsledek negativní, zpráva se zastaví, pokud administrátor nenastavil jiné pravidlo. I když SPF kontrola projde, DMARC dále kontroluje, zda se e-mailová adresa uvedená v poli „Od:“ shoduje s doménou, ze které e-mail přišel. Tomu se říká zarovnání.

I když Microsoft, Facebook a Google podporují DMARC, stále není široce používán. Pokud používáte Outlook.com nebo Gmail.com, pravděpodobně využíváte DMARC. Nicméně, do konce roku 2017 implementovalo tento systém ověřování pouze 39 společností ze seznamu Fortune 500.

Co můžete dělat se spamem z vaší vlastní adresy?

Tento e-mail se zdál být odeslán z vaší vlastní adresy, naštěstí skončil ve složce s nevyžádanou poštou.

Bohužel, neexistuje způsob, jak zabránit spammery, aby falšovali vaši adresu. Můžete jen doufat, že váš e-mailový systém implementuje SPF i DMARC a tyto cílené zprávy neuvidíte. Měly by automaticky skončit ve spamu. Pokud váš e-mailový účet umožňuje nastavení filtrů proti spamu, můžete je zpřísnit. Mějte na paměti, že tím můžete ztratit i některé legitimní zprávy, a proto byste měli složku se spamem občas kontrolovat.

Pokud dostanete falešnou zprávu od sebe samého, ignorujte ji. Neotevírejte žádné přílohy, neklikejte na odkazy a neplaťte žádné výkupné. Jednoduše ji označte jako spam, phishing nebo ji smažte. Pokud se bojíte, že vaše účty byly napadeny, raději je pro jistotu zablokujte. Pokud používáte stejná hesla, změňte je u všech služeb, kde jste je používali, a nastavte si nová a unikátní hesla. Pokud si nemůžete tolik hesel pamatovat, doporučujeme použít správce hesel.

Pokud máte obavy z falešných zpráv od vašich kontaktů, možná byste se měli naučit číst hlavičky e-mailů.