Вы когда-нибудь получали письмо от «гендиректора» с просьбой срочно перевести деньги? Или от «бухгалтерии» с новыми реквизитами? Если да, то вы столкнулись со спуфингом – подменой адреса отправителя. Это основа для фишинга и атак BEC (Business Email Compromise), которые приносят мошенникам миллионы. Хорошая новость: эту проблему можно закрыть на уровне технологий. Давайте разберем, как.
Почему вашу почту так легко подделать
Протокол SMTP, на котором работает электронная почта, создавался в эпоху доверия. Он не проверяет, действительно ли отправитель – это тот, за кого он себя выдает. Представьте почтальона, который принимает конверт с любым обратным адресом, не спрашивая паспорт. Этим и пользуются злоумышленники.
Они отправляют письма с вашего домена, чтобы обмануть сотрудников. Получатель видит знакомый адрес, например, boss@вашакомпания.ru, и доверяет содержимому. Результат – утечка данных или финансовые потери. Защита начинается с аутентификации почты.
Три кита, на которых стоит доверие: SPF, DKIM, DMARC
Это не просто аббревиатуры из мира кибербезопасности. Это практические стандарты, которые говорят почтовым серверам: «Этому письму можно верить». Настраиваются они через записи TXT в DNS вашего домена.
SPF – ваш список доверенных почтальонов
SPF (Sender Policy Framework) – это белый список IP-адресов или почтовых серверов (MTA), которым разрешено отправлять письма с вашего домена. Вы говорите миру: «Письма с адресом @мойкомпания.ру могут приходить только с этих конкретных серверов».
На практике это значит, что если мошенник попытается отправить письмо с вашего домена со своего сервера, почтовый сервер получателя сверит его IP со списком в вашей записи SPF. Если IP нет в списке – письмо будет помечено как подозрительное или отклонено. Вы защищаете не только себя, но и своих партнеров, которым сложнее стать жертвой спуфинга.
DKIM – цифровая печать на конверте
Представьте, что каждое исходящее письмо вы заверяете уникальной цифровой печатью. Это DKIM (DomainKeys Identified Mail). Ваш почтовый сервер подписывает заголовки письма специальным криптографическим ключом, а в DNS публикуется открытый ключ для проверки.
Получающий сервер проверяет эту цифровую подпись. Если подпись верна и письмо не менялось по пути – значит, оно действительно отправлено вами. Это надежнее SPF, потому что защищает от подделки само содержание и заголовки, а не только источник отправки. Это ваш доменный ключ к доверию.
DMARC – инструкция, что делать с подозрительными письмами
А что делать получателю, если проверка SPF или DKIM провалилась? Именно это решает DMARC (Domain-based Message Authentication, Reporting & Conformance). Вы публикуете в DNS политику безопасности для вашего домена.
Вы можете указать: «Если письмо с моего домена не проходит проверки, просто помечайте его как спам (quarantine) или сразу отказывайте в доставке (reject)». Кроме того, DMARC присылает вам отчеты о том, кто и откуда пытается отправлять письма от вашего имени. Это бесценные данные для аудита корпоративной безопасности.
Как это работает в связке
Допустим, к вашему клиенту приходит письмо от finance@вашакомпания.ру.
- Почтовый сервер клиента ищет в DNS ваши записи SPF, DKIM и DMARC.
- Он проверяет, пришло ли письмо с сервера из вашего SPF-списка.
- Он проверяет цифровую подпись DKIM с помощью вашего публичного ключа.
- В зависимости от результатов и вашей политики DMARC письмо доставляется, попадает в спам или отвергается.
Мошенник, не имея доступа к вашим серверам и доменным ключам, не сможет пройти эти проверки. Его письмо будет заблокировано.
С чего начать внедрение
Аудит. Сначала составьте список всех сервисов, которые отправляют письма от имени вашей компании (рассылки, CRM, техподдержка).
Настройка SPF. Создайте TXT-запись, включающую IP-адреса ваших почтовых серверов и сторонних сервисов.
Настройка DKIM. Сгенерируйте пару ключей в вашем почтовом сервисе, приватный ключ останется у вас, публичный – разместите в DNS.
Настройка DMARC. Начните с мягкой политики (p=none), чтобы получать отчеты, но не терять письма. Проанализировав отчеты и убедившись, что все легитимные письма проходят проверки, ужесточите политику до p=quarantine или p=reject.
Это не разовая акция, а часть постоянной практики защиты данных. Верификация отправителя через SPF, DKIM и DMARC – это базовый гигиенический минимум, который закрывает самые простые и опасные векторы атак, основанных на социальной инженерии. Вы не просто настраиваете технические параметры – вы строите цифровое доверие вокруг своего домена.