Cercetătorii in securitate cibernetica au identificat recent o nouă metodă prin care infractorii reușesc să evite filtrele de e-mail. Această tactică de phishing folosește codarea MIME și cratime soft (caractere invizibile) integrate în subiectul mesajelor. La nivel de cod, aceste caractere fragmentează cuvintele-cheie periculoase (ex. p-a-s-s-w-o-r-d), făcându-le nedetectabile pentru sistemele care se bazează pe potrivirea de șabloane.
Atacul reușește deoarece, deși subiectul pare distorsionat în lista de e-mailuri, el se afișează ca text normal la deschidere. Acest lucru creează confuzie, iar utilizatorii sunt direcționați către pagini false de autentificare (de tip webmail) pentru furtul de credențiale. Aceste cratime soft rămân invizibile în majoritatea clienților de e-mail (inclusiv Outlook), păcălind astfel atât sistemele, cât și utilizatorii.
Această descoperire, identificată de analiștii de securitate, subliniază o evoluție a tehnicilor de inginerie socială. Ea demonstrează că atacatorii vizează direct structura de cod a mesajelor, nu doar conținutul. Organizațiile trebuie să își actualizeze urgent soluțiile de filtrare pentru a analiza și structura antetului MIME, nu doar textul vizibil, pentru a bloca această nouă amenințare.
Sfaturi de Protectie
1. Actualizați Filtrele Anti-Phishing pentru MIME și Caractere Invizibile
Pasul 1 (Configurare): Sistem ESG/Anti-Spam > Reguli Antet > Adăugați o regulă de scanare care caută și blochează prezența caracterelor non-standard (ex. Unicode U+00AD) în câmpul Subject:.
Pasul 2 (Verificare Codare): Sistem ESG > Politici de Primire > Configurați filtrul să detecteze anomalii și lungimi excesive în subiectele codate Base64, semnalând o umplere intenționată cu caractere invizibile.
2. Fortificați Autentificarea E-mailului (DMARC, DKIM, SPF)
Pasul 1 (Configurare): Server DNS > Înregistrări > Asigurați-vă că înregistrările DMARC, DKIM și SPF sunt configurate corect și în mod strict pentru domeniul oficial.
- SPF (Sender Policy Framework): Un protocol de validare a domeniului publicat ca înregistrare TXT în DNS. Acesta autorizează explicit ce servere de trimitere (adrese IP sau domenii) au permisiunea de a expedia mesaje în numele domeniului dumneavoastră. Orice e-mail primit de la o sursă neautorizată poate fi respins imediat.
- DKIM (DomainKeys Identified Mail): O semnătură digitală aplicată pe e-mail. Demonstrează că mesajul nu a fost modificat pe parcursul trimiterii și că provine, într-adevăr, de la expeditorul pretins.
- DMARC (Domain-based Message Authentication): Regula principală - Transmite destinatarului ce să facă dacă SPF sau DKIM eșuează (să îl respingă, să îl pună în carantină sau să îl lase să treacă).
Pasul 2 (Politică): Sistem ESG > Politici de Primire > Blocați e-mailurile care eșuează la verificările DMARC/DKIM/SPF, prevenind tentativele de spoofing ale adresei expeditorului.
3. Implementați Autentificarea Multifactorială (MFA) Universală
Pasul 1 (Politici): Azure AD/Platformă IdP > Politici de Acces Condiționat > Impuneți MFA ca o cerință obligatorie pentru logarea la toate conturile (e-mail, VPN, aplicații critice).
Pasul 2 (Obiectiv): Asigurați-vă că MFA este activat pe conturile de e-mail web, împiedicând atacatorii să folosească credențialele furate (obținute prin paginile false de autentificare).
4. Marcați E-mailurile Externe ca fiind Suspecte
Pasul 1 (Regulă): Exchange Admin Center / Security & Compliance > Reguli de Transport > Creați o regulă care adaugă automat un avertisment vizibil ([EXTERN]) în subiectul sau corpul e-mailurilor primite din afara rețelei organizației.
Pasul 2 (Obiectiv): Creșteți nivelul de prudență al utilizatorilor.
5. Consolidați Securitatea Browserului și Filtrarea DNS
Pasul 1 (GPO): Politici de Grup (GPO) > Politici Browser > Activați forțat funcțiile native de protecție anti-phishing (SmartScreen, Safe Browsing, etc.) pe toate browserele.
Pasul 2 (Filtrare DNS): Filtru DNS de Rețea > Politici > Blocați accesul către domenii recent înregistrate.
6. Instruire Concentrată pe Anomaliile Subiectului E-mailului
Pasul 1 (Training): Platformă E-Learning > Modul Phishing > Includeți sesiuni de training care explica utilizatorilor cum arată un subiect care este intenționat distorsionat sau incomplet în lista de mesaje.
Pasul 2 (Procedură): Comunicați clar utilizatorilor să NU deschidă e-mailuri cu subiecte care par a fi corupte sau ilogice și să le raporteze imediat echipei IT.
7. Verificați destinația linkurilor FĂRĂ a da click (Hover)
Pasul 1: Client E-mail > Poziționați cursorul mouse-ului (faceți "hover") deasupra linkului suspect, dar NU apăsați click.
Pasul 2 (Analiza Adresei): Verificați bara de stare (colțul stânga jos). Comparați adresa URL reală care apare cu adresa URL afișată în textul linkului. Dacă cele două adrese nu corespund, NU dați click.
8. Impuneți și utilizați parole unice și puternice pentru fiecare cont.
Pasul 1 (Creare Parolă): Aplicație/Setări Cont > Confidentialitate/Securitate sau similar > Schimbare parola > Creați o parolă complexă (ideal peste 12 caractere) care include litere mari, mici, cifre și simboluri.
Pasul 2 (Evitare Reutilizare): Manager de Parole (Ex: 1Password/Bitwarden) > Nu reutilizați NICIODATĂ aceeași parolă la mai multe conturi, limitând daunele în cazul în care un singur cont este compromis prin phishing.
9. Inspectați Antetul Sursă (Header) pentru Sursa Reală a E-mailului
Pasul 1 (Afișare Detalii): Client E-mail (Outlook/Webmail) > Click dreapta pe e-mail > Selectați opțiunea "Vizualizare Sursă", "Vizualizare Detalii Mesaj" sau similar.
Pasul 2 (Identificare Sursă): Fereastra de Detalii> Căutați linia care conține "Return-Path" sau "Received-SPF".
Pasul 3 (Validare): Comparați domeniul din dreptul Return-Path cu domeniul legitim. Dacă nu se potrivește, este un semn clar de phishing.
10. Limitați accesul post-compromitere (Principiul Privilegiului Minim)
Pasul 1 (Gestionarea Identității): Conturi de Utilizatori > Aplicați politici care limitează accesul la resurse bazat pe necesitate (Principiul Privilegiului Minim).
Pasul 2 (Izolare): Segmentarea Rețelei > Asigurați-vă că (dacă un cont este compromis) atacatorul nu poate iniția imediat mișcare laterală sau acces la date critice (Zero Trust).
Pentru mai multe sfaturi și informații despre securitatea cibernetică, vizitează regulat sigurantapenet.ro