Письмо пришло от «службы поддержки» сервиса, которым вы пользуетесь. В нём просьба срочно подтвердить данные, оплатить счёт или перейти по ссылке. Логотип на месте, подпись знакомая. Проверить, кто на самом деле отправил письмо, можно — и для этого не нужно быть системным администратором. Разберём, как почта проверяет отправителя и как воспользоваться этим самому.
Почему поле «От кого» ничего не гарантирует
Электронная почта создавалась в те времена, когда отправителя никто не проверял. Поле «От кого» — это просто текст, который отправитель пишет сам. Подставить туда чужой адрес технически несложно. Такая подделка называется спуфингом.
Чтобы с этим бороться, появились три механизма почтовой аутентификации. Все они работают через записи в DNS домена отправителя — то есть настраивает их владелец домена, а проверяет почтовый сервер получателя.
SPF, DKIM и DMARC простыми словами
Представьте, что письмо — это посылка от компании.
- SPF — список курьеров, которым компания разрешила возить её посылки. Почтовый сервер смотрит, с какого сервера пришло письмо, и сверяет его со списком в DNS домена.
- DKIM — пломба на посылке. Сервер отправителя ставит на письмо цифровую подпись, а получатель проверяет её по ключу из DNS. Если письмо подменили по дороге, пломба не сойдётся.
- DMARC — инструкция компании, что делать с посылкой без правильного курьера или пломбы: пропустить, отложить или выбросить.
Три уровня политики DMARC
| Политика | Что делает получатель с непрошедшим письмом | Насколько защищён домен |
|---|---|---|
none |
Доставляет как обычно, только собирает статистику | Почти не защищён от подделки |
quarantine |
Отправляет в спам | Подделки чаще оседают в спаме |
reject |
Отклоняет письмо полностью | Подделать адрес этого домена сложно |
У SPF есть слабое место: при пересылке письма через другой сервер проверка может «сломаться». DKIM-подпись в этом случае сохраняется, поэтому механизмы и используют вместе.
Как проверить письмо самому
Шаг 1. Посмотрите на настоящий адрес отправителя
Почтовые программы часто показывают только имя — «Служба поддержки». Нажмите на него или наведите курсор, чтобы увидеть полный адрес. Затем примените правило из статьи о доменах-двойниках: важна пара «домен + зона» после знака @. Адрес [email protected] к домену brand.com отношения не имеет.
Шаг 2. Откройте результат проверки в самом письме
Большинство почтовых сервисов показывают результат аутентификации. Обычно он спрятан в пункте вроде «Показать оригинал», «Свойства письма» или «Заголовки». Ищите строки с результатами spf=, dkim= и dmarc=:
pass— проверка пройдена;failилиsoftfail— не пройдена;none— у домена нет записи.
Если письмо якобы от крупной компании, а DMARC не пройден, это серьёзный сигнал. Помните, что pass подтверждает только одно: письмо отправлено с серверов, которые разрешил владелец этого домена. Если мошенник зарегистрировал свой домен-двойник и правильно его настроил, проверки пройдут. Поэтому шаг 1 важнее шага 2.
Шаг 3. Проверьте домен отправителя
Введите домен из адреса в проверку SPF и DMARC. Инструмент покажет, есть ли SPF-запись, какая политика DMARC установлена и какое у неё значение. Для крупного сервиса отсутствие DMARC или политика none значат, что подделать письмо от его имени проще, — будьте внимательнее с его рассылками.
Затем проверьте сам домен в скам-проверке. Если домен из адреса отправителя зарегистрирован неделю назад, вопрос решён.
Письмо, которое торопит, — первый кандидат на проверку. Настоящие компании редко требуют что-то сделать «в течение часа».
Признаки подделки, которые видны без заголовков
Технические проверки полезны, но многие фишинговые письма выдают себя раньше:
- срочность и угроза: «аккаунт будет заблокирован», «последнее предупреждение»;
- просьба прислать пароль, код из SMS или полные данные карты — настоящая поддержка их не спрашивает;
- ссылка, текст которой не совпадает с адресом, куда она ведёт (видно при наведении курсора);
- вложение-архив или документ с макросами «для просмотра счёта»;
- обращение без имени, хотя сервис знает, как вас зовут;
- непривычный стиль: другой тон, ошибки, странный формат дат и сумм.
Отдельно стоит упомянуть письма о «возврате средств» и «выигрыше». Они не угрожают, а обещают, но цель та же: заставить перейти по ссылке и ввести данные карты «для зачисления». Для получения денег номер карты и код из SMS не нужны никогда.
Что делать с подозрительным письмом
Если сомнения остались, действуйте по порядку:
- Не переходите по ссылкам и не открывайте вложения из письма.
- Откройте сайт компании сами — из закладки или набрав адрес вручную.
- Проверьте уведомления в личном кабинете. Если требование настоящее, оно будет и там.
- При необходимости напишите в поддержку через форму на официальном сайте, а не ответом на письмо.
- Отметьте письмо как фишинг или спам в своём почтовом сервисе — это помогает фильтрам.
- Если вы уже ввели пароль, смените его на настоящем сайте и включите двухфакторную аутентификацию.
Если вы владелец домена
Проверьте свой домен в том же инструменте SPF и DMARC. Без этих записей ваши письма чаще попадают в спам, а мошенники могут рассылать почту от вашего имени.
Обычная последовательность настройки: сначала SPF и DKIM для всех сервисов, которые отправляют почту от вашего домена, затем DMARC с политикой none, чтобы собрать отчёты, и только после этого — quarantine или reject. Сразу включать reject рискованно: если какой-то легитимный поток писем не настроен, он перестанет доходить. Где лежат TXT-записи и как их посмотреть, рассказано в статье «DNS-записи домена: как проверить», а сами записи видны в инструменте DNS.
Что попробовать
- Проверьте почтовую защиту домена компании, от которой получаете счета, — в инструменте SPF и DMARC.
- Найдите в своей почте пункт «Показать оригинал» и посмотрите строки
spf=,dkim=,dmarc=у любого письма. - Проверьте домен из подозрительного адреса в скам-проверке.