Po co zaglądać do nagłówków
Nazwę i adres widoczne nad treścią łatwo podrobić. Nagłówki zapisują to, co faktycznie zobaczył serwer odbierający pocztę, więc właśnie tam wychodzi na jaw podszyty nadawca, ukryty adres Reply-To albo nieudane uwierzytelnienie.
Programy nazywają to samo różnie: Pokaż oryginał w Gmailu, Nagłówki internetowe lub szczegóły wiadomości w Outlooku, All Headers w Apple Mail, Message Source w Thunderbirdzie. Potrzebny jest cały tekst, a nie skrócony blok z polami Od, Do i Temat.
Gmail
- Otwórz Gmaila w przeglądarce na komputerze, a potem wiadomość.
- Obok przycisku odpowiedzi kliknij Więcej (trzy kropki).
- Wybierz Pokaż oryginał. Pełna wiadomość otworzy się w nowym oknie.
- Kliknij Kopiuj do schowka.
Outlook
Nowy Outlook dla Windows, Outlook w sieci Web i Outlook.com
- Otwórz wiadomość.
- U góry okna wiadomości wybierz Więcej akcji.
- Wybierz Wyświetl, a potem Wyświetl szczegóły wiadomości.
Klasyczny Outlook dla Windows
- Kliknij wiadomość dwukrotnie, żeby otworzyła się w osobnym oknie, a nie w okienku czytania.
- Wybierz Plik, a następnie Właściwości.
- Nagłówki są w polu Nagłówki internetowe. Kliknij w nie, naciśnij Ctrl+A i Ctrl+C, żeby skopiować.
Apple Mail
- Zaznacz wiadomość w aplikacji Mail na Macu.
- W pasku menu otwórz menu Widok i wybierz pozycję odpowiadającą View > Message > All Headers.
W wersji internetowej poczty na iCloud.com otwórz wiadomość, kliknij przycisk Więcej i wybierz opcję odpowiadającą Show All Headers.
Z widoku wszystkich nagłówków trudno skopiować tekst. Żeby dostać całe źródło jako plik, zapisz wiadomość jako .eml, tak jak w poradniku jak zapisać e-mail jako plik .eml.
Thunderbird
- Zaznacz lub otwórz wiadomość.
- Naciśnij Ctrl+U (Cmd+U na Macu) albo wybierz w menu Widok pozycję odpowiadającą View > Message Source. Surowa wiadomość otworzy się w nowym oknie, z nagłówkami na górze.
Żeby pokazać wszystkie linie nagłówka nad wiadomością w okienku czytania, wybierz w menu Widok pozycję odpowiadającą View > Headers > All i potem wróć do ustawienia Normal. Gdy wiadomość jest widoczna w okienku czytania, przycisk More też oferuje View Source.
Na telefonie lub tablecie
Oficjalna pomoc Gmaila i Outlooka opisuje nagłówki tylko dla komputerów. Jeśli podejrzana wiadomość leży w aplikacji na telefonie, najpewniej otworzyć tę samą skrzynkę na komputerze (wystarczy poczta w przeglądarce) i przejść kroki powyżej.
Na co patrzeć
Nagłówki są długie. Zacznij od tych linii, zwykle blisko początku:
Authentication-Results: mx.example.net;
spf=fail [email protected];
dkim=none;
dmarc=fail header.from=examplebank.com
Return-Path: <[email protected]>
From: "Example Bank" <[email protected]>
Reply-To: [email protected]
Received: from unknown (203.0.113.45) by mx.example.net- Authentication-Results pokazuje, czy SPF, DKIM i DMARC przeszły. DMARC fail w wiadomości podającej się za bank to mocny sygnał ostrzegawczy. Więcej w poradniku co znaczą DMARC, SPF i DKIM fail.
- From to to, co widać w skrzynce. Return-Path i Reply-To pokazują, dokąd naprawdę trafiają odpowiedzi i zwroty. Inna domena w każdym z nich to powód, żeby przyjrzeć się wiadomości uważniej.
- Linie Received śledzą serwery, przez które przeszła wiadomość, od najnowszego. Dolna jest najbliżej prawdziwego nadawcy.
Nie musisz rozszyfrowywać tego ręcznie. Wklej całość do AntiBait, a przeanalizuje wyniki uwierzytelnienia, drogę wiadomości i linki.