Возможна ли подмена заголовков электронного письма при настроенных SPF, DKIM, DMARC записях?

Question

[itshnick88]

Здравствуйте. На днях ко мне попало вот такое письмо от ФСТЭК России (в прикреплённой картинке - о ней и пойдёт речь далее). В письме, среди прочего, говорится о том, что некой хакерской группировкой осуществляется фишинговая рассылка электронных писем с домена самого ФСТЭК. Сначала я смутился... признаюсь честно, до этого я думал, что основной вектор подобной атаки заключается в том, чтобы максимально точно мимикрировать под домен организации, например, вместо fstec.ru зарегистрировать fstek.ru или fstec.gov.ru, но здесь - точное совпадение домена. Я решил погрузиться в чтение по данной проблематике и выяснил, что из-за несовершенства SMTP существует возможность подмены заголовков отправляемого пакета, как раз с целью проведения такой атаки. Но эта атака далеко не нова, поэтому, для защиты от подобного рода атак давно придумали такие ресурсные DNS записи, как: SPF, DKIM, DMARC.

Сейчас эти записи для домена fstec.ru существуют, НО... существовали ли они ДО рассылки этого письма? Скажем, по состоянию на 1 января 2025 года? Или до 2025 года они эти записи не настраивали? Каким образом стала возможна рассылка фишинговых писем от [e-mail]? У меня 3 основных вопроса:
1) Возможна ли подобная атака при существовании SPF, DKIM, DMARC записей?;
2) Если она невозможна (наличие корректно настроенных ресурсных записей исключает подобный вектор атаки), то для чего это письмо? Почему нужно точечно блокировать некоего [e-mail]?
3) Неужели у домена fstec.ru до сих пор отсутствовали ресурсные записи для защиты от фишинга почты?

Уважаемые эксперты, поделитесь, пожалуйста, знаниями по проблематике. Какой практический смысл от данного письма, кроме как лишний раз обратить внимание и перепроверить СВОИ ресурсные записи.

Answer 1

[Василий Банников]

Некоторые организации могут использовать устаревшее ПО, которое не проверяет SPF, DKIM, DMARC

Comments

[itshnick88]

А есть примеры такого ПО? Проверка осуществляется не на почтовом сервере получателя? Сейчас есть почтовые серверы, которые не знают об этих ресурсных записях?

В таком случае... можно рассылать письма не от [e-mail], а напрямую от [e-mail] и в следующей рассылке ФСТЕК попросит заблокировать и его? И больше нельзя будет получить электронное письмо от легитимного [e-mail]? И всё это, вместо рекомендаций не использовать почтовые серверы 20-ти летней давности?

Мы так и будем блокировать [e-mail], [e-mail], ... [e-mail] и заблокируем весь домен (и ещё чёрт знает сколько других доменов) вместо того, чтобы разослать письмо не с просьбой блокировки конкретный ящиков, а о переходе на защищённые почтовые серверы без уязвимостей? Это нормально?)

[Василий Банников]

itshnick88,

А есть примеры такого ПО?

А я хз, что за древнее говно может использоваться в каких-то региональных госучреждениях)

А postin, судя по названию, предназначен только для получения почты и рассылки с него не ведут.

Если сделали рассылку, что нужно заблокировать эти адреса - значит действительно кто-то становился жертвой такой рассылки.

Добавить адрес в банлист гораздо легче и быстрее, чем обновлять древнюю инфраструктуру, когда у тебя в штате нет никого, кто мог бы этим заняться.

А рекомендации о том что надо своевременно обновляться и использовать средства защиты были уже давно.

[itshnick88]

Василий Банников, Ну то есть, такими темпами, каждую неделю будет приходить письмо с просьбой заблокировать очередной почтовый ящик на домене fstec.ru пока не перебранят весь домен. И тогда будет дело с концом)
Неплохое решение проблемы

[Евгений Хлебников]

itshnick88, не, до вайтлиста додумаются

[Василий Банников]

itshnick88, ну я не работаю во фстэк, но видимо, логика у них именно такая)