Analizator nagłówków e-mail
Proszę wkleić surowe nagłówki podejrzanej wiadomości. Analizator wyjaśni, kto naprawdę ją wysłał, czy nadawca przeszedł uwierzytelnianie i jaką drogą wiadomość dotarła.
Nagłówki są analizowane w przeglądarce i nigdy nie są nigdzie wysyłane.
Jak to działa
Analizator odczytuje blok nagłówków tak jak serwer pocztowy: łączy zawinięte wiersze, dekoduje zakodowane tematy i nazwy oraz przedstawia nagłówki Received jako drogę doręczenia z opóźnieniem na każdym etapie.
Przy uwierzytelnianiu ufa tylko najwyższemu nagłówkowi Authentication-Results, czyli temu, który dodał Państwa dostawca poczty. Pokazuje wyniki SPF, DKIM i DMARC, sprawdza, czy podpis DKIM i adres zwrotów należą do domeny nadawcy, oraz szuka typowych sztuczek służących podszywaniu się: innego adresu ukrytego w nazwie wyświetlanej, znanej marki w nazwie, odpowiedzi przekierowanych do innej domeny oraz brakujących lub dziwnych dat.
Jak czytać wynik
DMARC to kontrola, która chroni widoczny adres From. Wynik pozytywny oznacza, że potwierdził go własny SPF lub DKIM właściciela domeny; wynik negatywny oznacza, że adres jest najprawdopodobniej sfałszowany. SPF i DKIM same w sobie mogą przejść dla dowolnej domeny, którą kontroluje nadawca.
Wszystko poniżej wierszy dodanych przez Państwa dostawcę może napisać nadawca, dlatego wcześniejsze etapy należy traktować jako deklaracje, a nie fakty.
Pytania
Gdzie znaleźć surowe nagłówki?
Gmail: otworzyć wiadomość, wybrać Więcej (⋮) i Pokaż oryginał. Outlook w przeglądarce: Więcej akcji, Wyświetl, Wyświetl źródło wiadomości. Outlook dla Windows: Plik, Właściwości, Nagłówki internetowe. Apple Mail: Widok, Wiadomość, Wszystkie nagłówki. Thunderbird: Widok, Źródło wiadomości.
Czy moje nagłówki są gdzieś wysyłane?
Nie. Nagłówki są analizowane w przeglądarce i nic nie jest przesyłane. Nagłówki zawierają adres e-mail i dane sieciowe, więc warto się zastanowić, zanim wklei się je do usług online.
Dlaczego e-mail phishingowy może przejść SPF i DKIM?
SPF i DKIM potwierdzają domenę, która wysłała lub podpisała wiadomość, a może to być własna domena atakującego. Dopiero DMARC wiąże te wyniki z widocznym adresem From.
Co zrobić, jeśli wynik pokazuje oznaki fałszerstwa?
Nie klikać linków, nie otwierać załączników i nie odpowiadać. Zgłosić wiadomość jako phishing w programie pocztowym i poinformować dział IT lub zespół bezpieczeństwa.
Potrzebują Państwo więcej, niż pokaże narzędzie?
Narzędzie sprawdza jedną rzecz. Nasi konsultanci patrzą na całość.
Reagowanie na incydentyPowiązane artykuły
-
Jak rozpoznać link phishingowy, zanim się w niego kliknie
Jak czytać adres URL tak, jak buduje go atakujący: domena rejestrowalna, domeny łudząco podobne i punycode, sztuczka z @, przekierowania i skracacze.
-
SPF, DKIM i DMARC w praktyce – bezpieczna droga do p=reject
Jak SPF, DKIM i DMARC chronią domenę przed podszywaniem się, jak bezpiecznie przejść z p=none na p=reject i jakie błędy blokują pocztę.