Ktoś podszywa się pod moją firmę w e-mailach: co zrobić

Trzy różne sytuacje

1. Fałszywy nadawca z dokładnie Twoją domeną. W polu "Od" jest prawdziwy adres w Twojej domenie, ale wiadomość wysłał ktoś obcy ze swojego serwera. To możliwe, gdy domena nie ma rekordu DMARC z polityką odrzucania.
2. Domena-sobowtór. Adres wygląda podobnie: literówka (firrna.pl zamiast firma.pl), inna końcówka (.com zamiast .pl), dopisek (firma-faktury.pl). To osobna domena oszusta i DMARC Twojej domeny jej nie zablokuje.
3. Przejęte konto. Wiadomość naprawdę wyszła z Twojej skrzynki, bo ktoś zna hasło. Często towarzyszy temu ukryta reguła przekierowania poczty.

Jak rozpoznać, który to przypadek

Poproś odbiorcę o przesłanie podejrzanej wiadomości jako załącznika albo o jej nagłówki. Sprawdź dokładnie adres w polu "Od", litera po literze, a nie tylko nazwę wyświetlaną: oszuści często podpisują się nazwą firmy przy zupełnie obcym adresie. Jeśli adres różni się od Twojej domeny, to sobowtór (przypadek 2). Jeśli adres jest Twój, znajdź wiersz Authentication-Results. Wynik DMARC fail przy nieznanym serwerze nadawcy oznacza najpewniej podrobioną wiadomość (przypadek 1); fail może też dać Twoja własna usługa bez SPF i DKIM. Jeśli SPF, DKIM i DMARC mają pass, wiadomość wyszła z serwerów upoważnionych przez Twoją domenę, czyli najpewniej z przejętego konta (przypadek 3).

Co zrobić w każdym przypadku

Fałszywy nadawca z Twoją domeną

Wdróż DMARC: zacznij od p=none z raportami, po przeglądzie raportów przejdź na p=quarantine, a potem na p=reject. Przy p=reject odbiorcy, którzy stosują DMARC (w tym Gmail, Yahoo i Microsoft), odrzucają fałszywe wiadomości z Twoją domeną. Wcześniej uporządkuj SPF i DKIM, inaczej odrzucona zostanie też prawdziwa poczta. Instrukcja: poradnik DMARC.

Domena-sobowtór

Zgłoś domenę-sobowtóra do jej rejestratora (jego nazwę podaje WHOIS) i do firmy hostingowej. Zgłoś też incydent do CERT Polska przez formularz na incydent.cert.pl. Najważniejsze warianty swojej domeny (popularne końcówki, oczywiste literówki) możesz zarejestrować sam, zanim zrobi to ktoś inny.

Przejęte konto

Zmień hasło skrzynki, włącz logowanie dwuskładnikowe, wyloguj wszystkie sesje i sprawdź reguły przekierowania oraz filtry. Jeśli konto było przejęte, uprzedź kontrahentów, z którymi korespondowałeś w ostatnich tygodniach.

Zawsze: ostrzeż klientów

Niezależnie od przypadku napisz do klientów, że numer konta firmy się nie zmienił i że każdą prośbę o zmianę numeru potwierdzacie telefonicznie pod znanym numerem. To najskuteczniejsza ochrona przed oszustwem "na fakturę", bo działa także wtedy, gdy oszust użyje domeny-sobowtóra.

Darmowy audyt pokazuje, czy da się podszyć pod Twoją domenę (sekcja "Ochrona marki") i czy w rejestrze są już domeny łudząco podobne, z serwerem pocztowym gotowym do wysyłki.