Спам с вашего собственного адреса: обычно это подделка отправителя, и как проверить, не взломали ли вас

Для кого эта статья: для тех, кто получил спам или письмо с вымогательством, где отправителем указан их собственный адрес, и беспокоится, что его взломали. Статья основана на предупреждениях японских IPA (Агентство по развитию информационных технологий) и JC3 (Японский центр противодействия киберпреступности). Если у вас свой домен и вы хотите остановить почту, которая выдаёт себя за него, читайте вместо этого статью как остановить поддельные письма от имени своего домена.

Почему кажется, что письмо пришло от вас

Поле «От» заполняет отправитель. В момент отправки ничто не проверяет, что сервер, который на самом деле отправляет письмо, соответствует адресу в поле «От». Принимающие сервисы могут проверить это потом (SPF, DKIM и DMARC), но часть писем всё равно проходит.

Сервер атакующего (настоящий отправитель)

Пишет ваш адрес в поле «От» и отправляет

Ваш почтовый ящик

Показывает: от вас, вам → кажется, что вы написали сами себе

Ваш аккаунт

Не использовался → в «Отправленных» пусто, в истории входов пусто

IPA описывает случаи, когда и отправителем, и получателем был адрес самого получателя, и говорит, что вероятные цели — обойти спам-фильтры и заставить получателя поверить, что его почта взломана. Иными словами, «пришло с моего собственного адреса» — часть приёма, чтобы вы поверили.

Проверьте три места, чтобы отличить взлом от подделки

Главное: настоящий взлом оставляет следы внутри аккаунта. Если кто-то входит и отправляет почту, это видно в «Отправленных» и в истории входов. Взломщики также часто тихо ставят правила пересылки или автоудаления, чтобы вы ничего не заметили. Если эти три места чисты, ваш адрес, скорее всего, просто подделали. Где найти историю входов и настройки пересылки в разных сервисах, разобрано в статье как проверить, не заходил ли кто-то в ваш аккаунт.

Письма с темой о том, что почта «отправлена с вашего аккаунта»

Темы, намекающие, что с вашим аккаунтом или отправленной почтой что-то не так, — например, «о письмах, отправленных с вашего аккаунта» или «изменения в отправленной почте», — типичная форма тех же мошенничеств. Формулировки постоянно меняются, поэтому полезнее знать два шаблона, чем запоминать конкретные темы.

• Вымогательство: утверждает, что взломало ваш аккаунт или прочитало вашу отправленную почту, и требует денег, часто в криптовалюте. Как объяснено выше, подделанное поле отправителя заставляет вас поверить во взлом
• Фишинг: сообщает о проблеме с отправкой или изменении настроек и ведёт по ссылке на страницу, где просят логин и пароль от почты

В обоих случаях не открывайте ссылки из письма. Входите в почтовый сервис через закладку или официальное приложение и проверяйте три места, описанные ниже. Как распознать поддельную страницу входа, разобрано в статье что такое фишинг.

Что сделать сегодня

Если у вас свой домен

Если вы или ваша компания используете почту на собственном домене, получение писем, выдающих себя за него, может означать, что у домена не настроены как следует SPF, DKIM и DMARC. Тогда это можно остановить как отправитель (владелец домена), а не только как получатель. Как читать заголовки и в каком порядке настраивать — в статье как остановить поддельные письма от имени своего домена; что означают три механизма — в статье что такое SPF, DKIM и DMARC.

Источники

• IPA (Агентство по развитию информационных технологий, Япония), служба поддержки по информационной безопасности: предупреждение о спаме с вымогательством, угрожающем распространить интимное видео и требующем криптовалюту (опубликовано 10 октября 2018, обновлено 8 сентября 2021) — ipa.go.jp
• JC3 (Японский центр противодействия киберпреступности): письма с вымогательством, требующие криптовалюту (биткоин) (21 апреля 2021) — jc3.or.jp
• Служба поддержки IPA по информационной безопасности — ipa.go.jp

Что прочитать дальше

• Проверка на взлом: как проверить, не заходил ли кто-то в ваш аккаунт (история входов, пересылка)
• Проверка на утечку: как проверить, не утёк ли ваш пароль (Have I Been Pwned)
• Когда утекли только адреса почты: утечка Baitoru (до 3,88 млн адресов) (на английском; как распознать поддельные письма от рекрутеров)
• Поддельные предупреждения: всплывающие окна «Ваш компьютер заражён» и мошенничество с техподдержкой
• Для владельцев доменов: как остановить поддельные письма от имени своего домена (SPF/DKIM/DMARC)
• Пароли: безопасны ли менеджеры паролей? / какой способ 2FA самый надёжный
• Термины: что такое фишинг? / что такое SPF, DKIM и DMARC?