Zaufanie to podstawa sukcesu, czyli jak zachować dobre imię swojej marki i uchronić klientów przed atakiem phishingowym?
Chyba wszyscy to znamy: nagle w skrzynce e-mailowej dziwne wiadomości z banku, sklepów internetowych, firm dostawczych czy innych znanych marek, które chcą zdobyć od Ciebie dane osobowe. Tak, właśnie doświadczyłeś ataku phishingowego, jak wielu innych użytkowników medium, z którego wszyscy codziennie korzystamy: e-maila.
W 2018 roku system anty-phishingowy w KasperskyLab został uruchomiony 482 465 211 razy, a wzrost liczby tego typu ataków zwiększa się każdego roku o 15% począwszy od 2016 roku. Jednak w 2018 r. odnotowano nową najwyższą: szczególnie mocno ucierpiał sektor finansowy. Ponad 44 % wszystkich ataków typu phishing wykrytych przez Kaspersky Lab dotyczyło banków, systemów płatniczych i sklepów internetowych. Udział spamu w ruchu pocztowym wyniósł 52,48%.
Bo czasem zapominamy: internet to nie jest świat idealny. Lista podejrzanych typów w sieci i ich wyrafinowanych metod phishing, spam, ataki „man-in-the-middle” czy spoofing jest długa. Ataki te są zagrożeniem nie tylko dla nieostrożnych odbiorców e-maila, którzy łatwowiernie podają swoje dane, ale przede wszystkim szkodzą reputacji i działalności e-marketingowej wykorzystanej marki. Ze zrozumiałych powodów cyberprzestępcy nie używają własnej tożsamości jako nadawcy lecz wolą się raczej podszywać się pod wiarygodnych nadawców. I niestety każda firma jest ich potencjalnym celem.
Co gorsza, mnogość pułapek sprawia, że odbiorcy e-maili stają się podejrzliwi. Tak podejrzliwi, że wielu dostawców usług internetowych (ISP) dokładnie sprawdza pocztę przed przekazaniem jej swoim klientom, odbiorcom poczty. Szczególnie mniejsze firmy ISP posuwają się nawet do odrzucenia wszystkich przychodzących maili i zwrócenia „bounce-code”, mając nadzieję, że zaufani nadawcy rozpoczną drugą próbę doręczenia (greylisting). Inni dostawcy usług internetowych wymagają uwierzytelnienia przez nadawców poczty lub certyfikacji nadawców poczty na białej liście (np. z Certified Senders Alliance CSA) w celu dostarczenia wiadomości e-mail.
Jest to problem dla brandów. W końcu bardzo zależy im na tym, aby ich e-maile docierały do adresatów. Drzwi do dostawców usług internetowych otwiera zaufanie. Jeśli ci bowiem klasyfikują nadawcę poczty jako godnego zaufania, jest bardzo prawdopodobne, że wiadomość przez nich przesyłana zostanie również dostarczona do skrzynki odbiorczej.
Na to zaufanie trzeba najpierw jednak zapracować. I tu w grę wchodzi tzw. wyrównanie domen. Wyrównanie domen oznacza, że domeny używane w SPF (Sender Policy Framework) i DKIM (DomainKeys Identified Mail) muszą przynajmniej częściowo odpowiadać adresowi “nadawcy poczty”. SPF i DKIM to typowe specyfikacje uwierzytelniania poczty, które działają w luce pomiędzy nadawcą a odbiorcą:
- SPF zapobiega fałszowaniu adresu nadawcy sprawdzając, czy wiadomości e-mail faktycznie pochodzą od hosta autoryzowanego przez administratora domeny; tutaj adres IP nadawcy jest porównywany z listą adresów IP zarejestrowanych dla tej domeny.
- DKIM sprawdza, czy poczta nie została zmieniona w drodze do odbiorcy i czy rzeczywiście pochodzi od określonego nadawcy. Przy tego rodzaju uwierzytelnianiu wiadomości e-mail są kryptograficznie podpisywane tajnym kodem, który dostawca usług internetowych dla klienta weryfikuje porównując go z kluczem publicznym.
„Nadawca poczty” to adres pocztowy, który jest wyświetlany odbiorcy poczty jako adres nadawcy. Czyli prościej mówiąc: jak w klasycznym liście pocztowym adres nadawcy, który widnieje na kopercie powinien odpowiadać adresowi nadawcy w liście oraz jego podpisowi pod listem. Właściwie jest to oczywiste, a może raczej zaufałbyś listowi z różnymi adresami na kopercie i w liście?
Ta synchronizacja nie jest jednak taka prosta w przypadku poczty elektronicznej, ponieważ wielu marketerów korzysta z usług zewnętrznych dostawców usług poczty elektronicznej (ESP) do wysyłania wiadomości. I wtedy „nadawca poczty” w nagłówku wiadomości i adres fizyczny nie są już zgodne, a wyrównanie domen nie jest zachowane. W takim przypadku zaleca się właścicielowi domeny, czyli pierwotnemu nadawcy korzystanie z subdomeny w celu wysyłania wiadomości e-mail za pośrednictwem operatorów poczty (ESP), gdyż wtedy konfiguracja i wyrównanie domen jest łatwiejsze. Jeżeli to dostosowanie domeny zostanie zapewnione, to samo z siebie wzbudzi określony poziom zaufania u dostawców usług internetowych.
Wyrównywanie domen jest również obowiązkowym warunkiem wstępnym wdrożenia DMARC (Domain-based Message Authentication, Reporting and Conformance), kolejnej bardziej zaawansowanej procedury uwierzytelniania wiadomości e-mail, wspieranej przez wielu dużych dostawców usług internetowych, takich jak AOL, Microsoft czy Google. DMARC potwierdza domeny nadawcy bazując na wyżej opisanych popularnych specyfikacjach SPF i DKIM. Przy czym co najmniej jeden z tych mechanizmów musi potwierdzić domenę nadawcy, aby DMARC zezwolił na dopuszczenie wiadomość do skrzynki pocztowej odbiorcy. Poza tym DMARC pozwala właścicielowi domeny decydować o tym, co zrobić z e-mailami, które nie przeszły testu SPF i DKIM w całości lub w części, czyli poczty, która wydawałoby się, że pochodzi od niego.
Właściciel domeny może skorzystać z tych opcji:
- Brak: dostarczenie wiadomości, jeśli przeszła ona pomyślnie weryfikację DMARC.
- Kwarantanna: wiadomość jest dostarczana do folderu ze spamem.
- Odrzucenie: odrzucenie wiadomości e-mail.
Wnioski
Dla marketerów w e-mail marketingu wiarygodność jest niezwykle ważna, ponieważ ma ona bezpośredni wpływ na dostarczanie wiadomości e-mail oraz podnosi reputację brandu dla którego pracują. Poprzez wdrożenie DMARC i związane z tym ujednolicenie domen, marki mogą upewnić się, że ich tożsamość nie jest nadużywana i w ten sposób zabezpieczają się przed szkodami spowodowanymi utratą reputacji. Specjaliści e-mail marketingu powinni zatem omówić kwestię DMARC ze swoim dostawcą usług poczty elektronicznej a dalsze informacje na temat DMARC i wyrównywania domen są również dostępne na stronie Certified Senders Alliance pod adresem https://certified-senders.org/library/.
Julia Janßen-Holldiek
Ostatnie wpisy Julia Janßen-Holldiek (zobacz wszystkie)
- Logotyp w skrzynce odbiorcy poczty elektronicznej – nowy standard BIMI zachwyca marketerów, technologicznych freaków i odbiorców poczty - 16 września 2020
- Co firmy wysyłające e-maile do klientów muszą brać pod uwagę w czasach pandemii? - 7 maja 2020
- 10 obowiązkowych postanowień na efektywny marketing e-mailowy w 2020 roku - 17 lutego 2020