Ανάγνωση αποστολέα και κεφαλίδων

Ενότητα 3: Αναγνώριση phishing · Χρόνος ανάγνωσης: 13 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να αξιολογείτε τον αποστολέα ενός email με βάση το όνομα εμφάνισης, τη διεύθυνση From, το Reply-To, το Return-Path, τις γραμμές Received και το αποτέλεσμα των SPF, DKIM και DMARC στο Authentication-Results.
Βασικές έννοιες: όνομα εμφάνισης, From, Reply-To, Return-Path, Received, Authentication-Results, αποτέλεσμα SPF/DKIM/DMARC, ευθυγράμμιση (alignment)

Τι βλέπετε και τι υπάρχει πραγματικά

Ένα πρόγραμμα email σάς δείχνει συνήθως μόνο ένα μικρό μέρος του αποστολέα: ένα όνομα, κάποιες φορές μια διεύθυνση. Πίσω από αυτό κρύβεται ένα σύνολο τεχνικών γραμμών που δεν βλέπετε, οι κεφαλίδες (headers). Εκεί αναγράφεται ποιος ισχυρίζεται ότι είναι ο αποστολέας, πού θέλει να σταλούν οι απαντήσεις, μέσω ποιων servers πέρασε το μήνυμα και τι έλεγξε ο δικός σας mail server.

Δεν χρειάζεται να είστε τεχνικός για να τις διαβάσετε. Χρειάζεστε έξι από αυτές:

Τις τρεις πρώτες μπορεί ο αποστολέας να τις γράψει όπως θέλει. Μόνο στις τρεις τελευταίες υπάρχει πραγματικός έλεγχος.

Το όνομα εμφάνισης δεν αποδεικνύει τίποτα

Το όνομα εμφάνισης είναι απλώς κείμενο. Οποιοσδήποτε μπορεί να χρησιμοποιήσει ως όνομα "Εξυπηρέτηση Πελατών Τράπεζας" ή το όνομα του διευθυντή σας. Πολλά προγράμματα email, ειδικά στο κινητό, εμφανίζουν μόνο αυτό το όνομα. Ένα γνωστό κόλπο είναι μια διεύθυνση μέσα στο όνομα:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Βλέπετε info@mijnbank.example, αλλά η πραγματική διεύθυνση βρίσκεται μέσα στις γωνιακές παρενθέσεις. Πατήστε ή κάντε κλικ πάντα στο όνομα για να δείτε την πλήρη διεύθυνση.

Επίσης και η ίδια η διεύθυνση From μπορεί να πλαστογραφηθεί: στο πρωτόκολλο email ένας server μπορεί να δηλώσει οποιαδήποτε διεύθυνση From. Το αν αυτό θα περάσει χωρίς να καταλήξει στα ανεπιθύμητα εξαρτάται από τα SPF, DKIM και DMARC του domain που μιμείται. Αυτό είναι το αντικείμενο του υπόλοιπου μαθήματος.

Reply-To: απαντήσεις σε κάποιον άλλο

Με το Reply-To ένα email λέει: "μην απαντήσετε σε εμένα, αλλά σε αυτή τη διεύθυνση". Τα newsletters και οι φόρμες ιστοτόπων το χρησιμοποιούν κανονικά. Οι απατεώνες το χρησιμοποιούν για να αναλάβουν μια συνομιλία. Το email έρχεται από μια πραγματική ή φαινομενικά πραγματική διεύθυνση, αλλά η απάντησή σας, με τα ζητούμενα στοιχεία ή την επιβεβαίωση της πληρωμής, πηγαίνει στον επιτιθέμενο.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Σε περίπτωση αιτήματος για χρήματα ή στοιχεία, ελέγχετε πάντα τη διεύθυνση στο παράθυρο απάντησης, πριν πατήσετε Αποστολή.

Return-Path, Received και η διαδρομή

Το Return-Path είναι η διεύθυνση όπου πηγαίνουν τα μηνύματα σφάλματος. Ονομάζεται επίσης envelope αποστολέας: η διεύθυνση στο εξωτερικό του φακέλου, ενώ το From βρίσκεται πάνω στην ίδια την επιστολή. Σε αυτό το domain γίνεται ο έλεγχος του SPF. Σε newsletters και τιμολόγια από λογιστικό πρόγραμμα, το Return-Path είναι συχνά ένα domain της υπηρεσίας αποστολής. Αυτό είναι φυσιολογικό.

Κάθε server που διαβιβάζει το email προσθέτει μία γραμμή Received στην κορυφή. Τις διαβάζετε λοιπόν από κάτω προς τα πάνω: η κατώτερη είναι η αρχή της διαδρομής, η ανώτερη ο τελευταίος σταθμός (ο δικός σας mail server). Προσοχή: μόνο τις ανώτερες γραμμές, που προσέθεσε ο δικός σας πάροχος, μπορείτε να εμπιστευτείτε. Από κάτω μπορεί ένας αποστολέας να έχει προσθέσει πλαστές γραμμές.

Authentication-Results: το αποτέλεσμα του ελέγχου

Ο δικός σας mail server ελέγχει κατά την παραλαβή τρία πράγματα (περισσότερες εξηγήσεις στην ενότητα 4 και στο μάθημα DNS):

• SPF: επιτρεπόταν σε αυτόν τον server να στείλει email για το domain στο Return-Path;
• DKIM: είναι σωστή η ψηφιακή υπογραφή και από ποιο domain προέρχεται (d= ή header.d=);
• DMARC: ανήκει τουλάχιστον ένας από αυτούς τους δύο επιτυχημένους ελέγχους στο domain που αναγράφεται στο From; Αυτό ονομάζεται ευθυγράμμιση. "Ανήκει" σημαίνει: ίδιο καταχωρίσιμο domain (μάθημα 3.2). Το mail.mijnbank.example είναι ευθυγραμμισμένο με το mijnbank.example (ίδιο καταχωρίσιμο domain).

Το αποτέλεσμα αναγράφεται στο Authentication-Results. Εμπιστευτείτε μόνο τη γραμμή με το όνομα του δικού σας mail server στην αρχή: ένας αποστολέας μπορεί να στείλει και ο ίδιος μια τέτοια γραμμή.

Το πιο σημαντικό μάθημα: το dmarc=pass σημαίνει μόνο "αυτό το email προέρχεται πράγματι από το domain που αναγράφεται στο From". Δεν λέει τίποτα για το αν αυτό το domain είναι αξιόπιστο. Ένας επιτιθέμενος με το δικό του lookalike domain μπορεί να έχει όλα τα αποτελέσματα σωστά ρυθμισμένα σε pass.

Στην πράξη: έτσι μοιάζει

Τρία προσομοιωμένα μπλοκ κεφαλίδων, περικομμένα στις γραμμές που έχουν σημασία. Ο παραλήπτης είναι ο Φούρνος Example, ο δικός του mail server ονομάζεται mx1.example.com.

Παράδειγμα 1: πραγματικό.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

Το domain στο From είναι mijnbank.example και το DKIM είναι υπογεγραμμένο από το mijnbank.example, ενώ το Return-Path ανήκει στο ίδιο domain: και τα δύο ευθυγραμμισμένα, το DMARC πετυχαίνει. Το email προέρχεται πράγματι από αυτό το domain. Για το ετήσιο σας στοιχείων, πηγαίνετε ωστόσο στην τράπεζα μέσω του δικού σας αγαπημένου σελιδοδείκτη.

Παράδειγμα 2: πλαστογραφημένος αποστολέας.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

Το SPF πετυχαίνει, αλλά για το aanvaller.example, όχι για το domain του From. Δεν υπάρχει υπογραφή. Το DMARC λοιπόν αποτυγχάνει. Επειδή ο προμηθευτής έχει ρυθμίσει p=none, το email παραδόθηκε ωστόσο. Με p=reject θα είχε απορριφθεί. Σε αυτό προστίθεται και το Reply-To προς άλλο domain. Πλαστό.

Παράδειγμα 3: lookalike με όλα σε pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Επιβεβαιώστε τα στοιχεία σας για τη νέα κάρτα πληρωμών

Όλα πετυχαίνουν, γιατί ο επιτιθέμενος έχει ρυθμίσει σωστά το δικό του domain. Όμως το mijnbank-veilig.example δεν είναι το mijnbank.example της πραγματικής τράπεζας. Πλαστό.

Άνοιγμα των κεφαλίδων μόνοι σας. Στο webmail που βασίζεται στο Roundcube (όπως στο WebOké) ανοίγετε το μήνυμα και επιλέγετε από το μενού More (οι τρεις τελείες) την επιλογή Source. Άλλα προγράμματα το ονομάζουν για παράδειγμα "Εμφάνιση πρωτοτύπου" ή "Πηγαίος κώδικας μηνύματος". Αναζητήστε μέσα στο κείμενο το Authentication-Results. Στο κινητό συχνά αυτό δεν είναι δυνατό: δείτε τότε το email στο webmail από υπολογιστή.

Σύνοψη

• Το όνομα εμφάνισης, το From και το Reply-To τα γράφει ο ίδιος ο αποστολέας. Ελέγχετε πάντα την πραγματική διεύθυνση και το Reply-To πριν απαντήσετε.
• Το Return-Path είναι η διεύθυνση envelope πάνω στην οποία ελέγχει το SPF. Τις γραμμές Received τις διαβάζετε από κάτω προς τα πάνω: εμπιστευτείτε μόνο αυτές του δικού σας παρόχου.
• Το Authentication-Results δίνει το αποτέλεσμα των SPF, DKIM και DMARC. Το DMARC ελέγχει αν το SPF ή το DKIM είναι ευθυγραμμισμένο με το domain του From.
• Το dmarc=fail σε ένα γνωστό domain είναι ισχυρή ένδειξη πλαστογράφησης.
• Το dmarc=pass αποδεικνύει μόνο ότι το email προέρχεται από το domain του From. Ελέγχετε πάντα αν αυτό το domain είναι το πραγματικό.

Κουίζ

Άσκηση

Άσκηση A3.3: Ανάγνωση κεφαλίδων. Θα λάβετε τρία μπλοκ κεφαλίδων. Συμπληρώστε για κάθε μπλοκ: το domain στο Return-Path, το domain της υπογραφής DKIM (d=), το αποτέλεσμα του DMARC και αν το email είναι πραγματικό ή πλαστό. Το πρόγραμμα ελέγχει τις απαντήσεις και σε περίπτωση λάθους υποδεικνύει τη γραμμή όπου βρίσκεται η απάντηση.

Περαιτέρω ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Τι είναι το DMARC; Εξήγηση σε απλή γλώσσα
• Το email μου δεν παραδίδεται ή καταλήγει στα ανεπιθύμητα (spam): δείτε πώς μπορείτε να το διερευνήσετε
• Δημόσιος έλεγχος email (SPF, DMARC, MX) ενός domain: https://www.weboke.gr/elegchos-email, και η δοκιμή email του internet.nl: https://internet.nl
• Μάθημα DNS, ενότητες 4.3 SPF, 4.4 DKIM και 4.5 DMARC: https://www.weboke.gr/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601