spoofing

Spoofing (podszywanie się pod nadawcę) to fałszowanie identyfikatora nadawcy, tak aby wiadomość, połączenie albo pakiet wyglądały na pochodzące z zaufanego źródła. Podrabiany bywa numer telefonu, adres e-mail, adres IP lub nazwa domeny. Urząd Komunikacji Elektronicznej opisuje spoofing jako podszywanie się pod numer telefonu zaufanej instytucji czy innej osoby ^[2]. Polska ustawa o zwalczaniu nadużyć w komunikacji elektronicznej posługuje się angielską nazwą jako terminem ustawowym i definiuje „CLI spoofing” ^[1].

Jak działa

Spoofing wykorzystuje to, że wiele protokołów komunikacyjnych nie sprawdza, kim jest nadawca. Pole nadawcy wypełnia sam nadawca, a odbiorca ufa temu, co zobaczy. CERT Polska porównał pole „Od” w poczcie do adresu zwrotnego odręcznie wpisanego na kopercie: autor listu może je zmienić zupełnie swobodnie ^[3]. Niebezpiecznik zwraca uwagę, że protokoły w sieciach komórkowych są stare i nie mają mechanizmu, który sprawdzałby, czy dzwoniący jest właścicielem wyświetlanego numeru ^[4].

Sam spoofing rzadko jest celem. Zwykle otwiera drogę do dalszego działania: phishingu, wyłudzenia przelewu albo ataku na infrastrukturę. Typowy przebieg oszustwa ze sfałszowanym nadawcą wiadomości pokazuje schemat poniżej.

RYS. 1Wiadomość ze sfałszowanym nadawcą

Odmiany

Spoofing występuje na wielu warstwach komunikacji. Najczęściej spotykane odmiany zestawia tabela.

Spoofing telefoniczny. Niebezpiecznik opisuje, że do podrobienia numeru wystarczy jeden z wielu serwisów internetowych: wpisuje się numer celu i numer, który ma się wyświetlić ^[4]. Poszkodowane są dwie osoby: odbiorca połączenia i właściciel podrobionego numeru ^[4]. Tak działa część oszustw „na pracownika banku”, opisanych w haśle oszustwo na policjanta / na pracownika banku.

Spoofing adresu IP. RFC 2827 opisuje ataki odmowy usługi z użyciem sfałszowanych adresów źródłowych, na przykład SYN flood, w których adres może należeć do niewinnej organizacji, która staje się ofiarą wtórną ^[5]. Ten sam mechanizm jest podstawą amplifikacji w atakach DDoS.

W WordPressie

Strona WordPress sama wysyła pocztę: powiadomienia o zamówieniach, resety haseł, odpowiedzi z formularzy kontaktowych. Robi to w imieniu domeny witryny. Jeśli domena nie ma poprawnie ustawionych rekordów SPF, DKIM i DMARC, atakujący może łatwiej podszyć się pod nią w wiadomościach do klientów sklepu. DMARC pozwala właścicielowi domeny opublikować w DNS politykę, według której serwery odbiorców oceniają, czy wiadomość z tą domeną w polu nadawcy przeszła weryfikację SPF lub DKIM ^[6]. Polityka p=reject oznacza prośbę o odrzucenie poczty, która tej kontroli nie przejdzie ^[6].

Właściciele stron WordPress sami bywają celem spoofingu. W grudniu 2023 roku WordPress.org ostrzegł przed wiadomościami podszywającymi się pod „WordPress Security Team”, które nakłaniały do instalacji wtyczki z rzekomą poprawką ^[7]. Wiadomości powoływały się na fikcyjną podatność CVE-2023-45124, a instalowana wtyczka zawierała złośliwe oprogramowanie ^[7]. Zespół bezpieczeństwa WordPressa zaznaczył, że nigdy nie prosi mailem o instalację wtyczki lub motywu ani o login i hasło administratora ^[7]. Szerzej o tym wzorcu mówi hasło fałszywa wtyczka.

Zagrożenia i skutki

Spoofing podważa zaufanie do znanego nadawcy, dlatego wzmacnia każdą formę socjotechniki. Ofiara, która widzi numer swojego banku albo adres przełożonego, łatwiej wykona polecenie. Skutki zależą od tego, co następuje po podszyciu się: przekazanie danych, niekorzystny przelew, instalacja oprogramowania albo przeciążenie usługi.

Ustawodawca uznał CLI spoofing za przestępstwo. Kto w celu korzyści albo wyrządzenia szkody posługuje się bez uprawnienia cudzą informacją adresową przy połączeniu głosowym, by nakłonić odbiorcę do przekazania danych, rozporządzenia mieniem albo instalacji oprogramowania, podlega karze pozbawienia wolności od 3 miesięcy do 5 lat ^[1].

Jak się bronić

Obrona zależy od warstwy. W poczcie podstawą są SPF, DKIM i DMARC. CERT Polska już w 2011 roku wskazywał SPF i DKIM oraz analizę pełnych nagłówków wiadomości jako sposób na ustalenie rzeczywistego serwera nadawcy ^[3]. Najpewniejszą weryfikacją tożsamości nadawcy nazwał podpis elektroniczny ^[3]. Ustawa z 2023 roku nakłada na dostawców poczty obsługujących co najmniej 500 000 użytkowników oraz na dostawców poczty dla podmiotów publicznych obowiązek stosowania SPF, DMARC i DKIM ^[1].

W sieci obroną przed IP spoofingiem jest filtrowanie ruchu wchodzącego. RFC 2827 zaleca, by dostawca przepuszczał od klienta tylko pakiety z adresami z jego przydzielonych prefiksów; według dokumentu praktycznie eliminuje to problem fałszowania adresu źródłowego ^[5].

W telefonii ciężar spoczywa na operatorach. Ustawa o zwalczaniu nadużyć zobowiązuje przedsiębiorców telekomunikacyjnych do przeciwdziałania CLI spoofingowi ^[1]. Użytkownik nie rozpozna podrobionego numeru przed odebraniem połączenia ^[4], więc najprostszą zasadą jest rozłączenie się i oddzwonienie na numer znany z niezależnego źródła.

Historia i przykłady

CERT Polska opisał w 2011 roku próbę, w której autor wysłał wiadomość z adresem nadawcy w domenie sejm.pl; została przyjęta przez serwer, który nie sprawdzał SPF, a odrzucona przez dostawcę, który to robił ^[3]. W styczniu 2022 roku Niebezpiecznik opisał połączenia z podrobionych numerów wykonywane między innymi do polityków i ich rodzin ^[4]. Przepisy ustawy o zwalczaniu nadużyć w komunikacji elektronicznej weszły w życie 25 września 2023 roku ^[2].