网络钓鱼：诈骗者如何让邮件成功送达

邮件服务每天都会拦截数十亿封垃圾邮件。然而，诈骗邮件仍然不断出现在我们的收件箱里。这并非偶然：诈骗者了解各项检查，并学会了如何绕过它们。下面用简单的话介绍他们的主要手法，以及每种手法仍然会留下的痕迹。

冒充他人

第一种手法根本谈不上技术：就是模仿。邮件照搬银行、快递公司或政府机构的标志、配色和语气。一些细节专门用来骗过匆匆一瞥：

• 显示名称：您的邮件程序常常用大字显示“我的银行客服”，而真实地址只用小字显示，甚至完全不显示。
• 相似的地址：换掉一个字符（用 paypa1 代替 paypal），用“rn”冒充“m”，或者把品牌名放在一个属于别人的地址开头，例如 mybank.account-check.example。
• 紧迫感：账户被冻结、包裹被扣留、罚款须在 48 小时内缴纳。制造压力是为了让您来不及思考就采取行动。

痕迹：模仿骗得过眼睛，却骗不过服务器。真实地址和发送服务器仍然可以在邮件的完整邮件头中看到。

伪造发件人：和在信封上写字一样简单

很多人以为发件人地址是经过验证的。其实不然。邮件的“发件人”字段就像信封背面写的寄信人地址：任何人都可以随意填写。在网站服务器上写几行代码，就能发出一封看起来来自您的银行、您的雇主……甚至您自己的邮件。那些声称入侵了您邮箱并附上“证据”的勒索邮件，用的正是这一招：邮件看起来是从您自己的地址发出的。

为了限制这类滥用，有三种机制：

• SPF：允许代表某个域名发送邮件的服务器清单；
• DKIM：一种签名，就像火漆印章，证明邮件确实来自该域名且未被篡改；
• DMARC：当前两项检查失败时，域名给收件方的处理指示：不处理、放入垃圾邮件或直接拒收。

这些防护是有效的……前提是已经部署并得到执行。然而，许多域名发布的 DMARC 策略只是“不处理”，一些收件服务器也并不理会。更关键的是，诈骗者可以自己购买一个相似的域名并正确配置：这样他的邮件就能毫无错误地通过 SPF、DKIM 和 DMARC。这些检查只能证明邮件确实来自某个域名，而不能证明这个域名是诚实的。

痕迹：每一台转发邮件的服务器都会在邮件头的顶部添加一行 Received。诈骗者可以在底部编造假的记录，却无法阻止后面的服务器添加自己的记录。您自己的邮件服务添加的那一行，会如实记录把邮件交给它的 IP 地址：Baitback 要找的正是这一行。

花几美元租一台服务器

要发送成千上万封邮件，需要一台联网的机器。这再简单不过：任何人都可以花几美元一个月租一台虚拟服务器（VPS），通常按天计费，有时用盗来的信用卡付款。诈骗者用它完成一轮群发，几个小时或几天。一旦服务器的 IP 地址上了黑名单，他就把它丢弃，再租一台，可能在同一家托管服务商，也可能在世界的另一端。

因此，在自己的邮箱里屏蔽一个 IP 地址是不够的：下一轮群发会换一个地址。

痕迹：每台租来的服务器都属于一家可以查明的托管服务商，其使用条款禁止发送垃圾邮件。通过其举报地址（“abuse”联系人）收到通知后，服务商可以关停这台服务器。这是阻止正在进行的群发最有效的办法。

借用别人的服务器

更隐蔽的做法是：从一台不属于诈骗者的机器上发信。常见的情况有两种：

• 被入侵的网站：一个疏于更新的网站（旧版 WordPress、被遗忘的插件）在站长不知情的情况下被装上一个小小的发信脚本。
• 被盗的邮箱账户：利用在之前的钓鱼攻击中获得的密码，诈骗者从一个真实服务商的真实邮箱发出邮件，有时甚至是某家公司或某所大学的邮箱。

在这种情况下，邮件是从一台信誉良好的正规服务器发出的。SPF 和 DKIM 往往都能通过。过滤器要把它和正常邮件区分开来就难得多。

痕迹：IP 地址和发送服务器仍然可以在邮件头中看到。向托管服务商或邮件服务商举报，也是在帮助合法的所有者，他们往往并不知道自己的网站或账户被人利用了。

并非所有服务器都同样严格

Gmail 等大型服务商执行严格的规则：发送数量限制、身份验证、迅速封禁滥用的账户。其他服务器，比如小型托管服务商或配置不当的机器，则宽松得多。收件方也是如此：有的邮件服务拒收一切可疑邮件，有的则大量放行。

诈骗者不需要攻破最严格的服务器：只要找到最薄弱的一环就够了。全世界有数以百万计的服务器，总有一台在某个地方可以利用。

躲避机器人的链接

邮件到达时，许多邮件服务会自动访问其中的链接，检查它们是否指向危险页面。诈骗者深知这一点，于是在入口处安排了一名“门卫”：

• 邮件中的链接先指向一个看似无害的页面，或一个跳转服务；
• 该页面显示“您是人类吗？”的验证，就像很多网站上常见的勾选框，或者悄悄检查访问者；
• 分析机器人通不过验证：它只看到一个空白或无害的页面，于是判定链接安全；
• 而人类会不假思索地通过验证……然后来到伪造的登录页面。

还有一些链接会事后激活：在邮件送达并接受检查时完全干净，几个小时后才开始跳转到陷阱页面。

痕迹：原始链接仍然留在邮件中。Baitback 会跟踪它并显示各次跳转，即使最终页面藏了起来，起始地址也可以被举报。

为什么屡禁不止：举报太麻烦

所有这些手法都有一个弱点：它们依赖的服务器、IP 地址和域名，都属于可以查明的托管服务商。一次投递准确的举报，可以让一台服务器在几个小时内被关停。

问题在于所需的精力。官方平台发挥着重要作用，特别是在追究法律责任方面。但以法国的官方举报平台 PHAROS 为例，有时要翻过十多个页面才能找到正确的类别。而要让发送服务器被关停，还得找到托管服务商及其举报地址，再写一封附有恰当证据、表述清楚的邮件。很少有人能坚持到底，诈骗者正好从中得利。

这就是 Baitback 存在的原因：您粘贴邮件，工具会找出发送服务器、托管服务商及其举报地址，并准备好可以直接发送的举报邮件。一步完成，不必再闯重重关卡。