Co to jest atak DKIM replay?

To metoda, w której atakujący przechwytuje autentyczne, podpisane kryptograficznie wiadomości od zaufanych nadawców (jak Google czy Apple) i wysyła je ponownie do ofiar. Podpis pozostaje ważny, co pozwala wiadomościom przejść przez filtry antyspamowe.

Dlaczego filtry antyspamowe nie blokują takich e-maili?

Filtry sprawdzają poprawność podpisu DKIM i pochodzenie wiadomości. Jeśli podpis jest autentyczny — nawet jeśli wiadomość została przechwycona i wysłana ponownie — system uzna ją za bezpieczną i przepuści.

Które firmy są najczęściej wykorzystywane w takich atakach?

Badacze zaobserwowali ataki podszywające się pod Google, Apple i PayPal — marki o wysokim zaufaniu, które zwiększają wiarygodność fałszywych wiadomości w oczach odbiorców.

Jak poznać, że otrzymałem e-mail z ataku DKIM replay?

Sprawdź dokładnie adres nadawcy, linki w wiadomości i kontekst — jeśli nie oczekiwałeś wiadomości od danej firmy, a prosi o dane lub akcję, może to być atak. Zawsze weryfikuj bezpośrednio na oficjalnej stronie firmy.

Jakie działania podejmować, jeśli podejrzewam atak?

Nie klikaj linków ani nie pobieraj załączników. Zgłoś wiadomość jako spam lub phishing do swojego dostawcy poczty, a następnie skontaktuj się bezpośrednio z firmą, pod którą się podszywano.

Atak DKIM replay: jak oszuści podszywają się pod Google i Apple

Przestępcy przechwytują autentyczne e-maile od zaufanych firm i wysyłają je ponownie ofiarom.

Atak DKIM replay to zagrożenie, w którym cyberprzestępcy przechwytują autentyczne wiadomości e-mail od znanych firm, a następnie wysyłają je ponownie do wybranych ofiar, wykorzystując oryginalne, ważne podpisy kryptograficzne.

Badacze z zespołu Sekuraka przeanalizowali tę metodę ataku i ujawnili, jak skutecznie omija ona standardowe systemy bezpieczeństwa poczty elektronicznej. Problem leży w samej naturze protokołu DKIM (DomainKeys Identified Mail) — mechanizmu, który miał chronić wiadomości przed podszywaniem się.

Jak działa atak DKIM replay?

Całe zagrożenie opiera się na trzystopniowym procesie. Po pierwsze, atakujący musi przechwycić autentyczną wiadomość wysłaną przez zaufaną firmę — taką jak Google, Apple lub PayPal. Wiadomość ta zawiera prawidłowy podpis kryptograficzny, który potwierdza jej autentyczność i pochodzenie.

Po drugie, przestępca wysyła tę samą wiadomość ponownie, ale do innego odbiorcy — ofiary ataku. Kluczowe jest to, że podpis DKIM pozostaje niezmieniony i w pełni ważny. Wiadomość nie została zmodyfikowana w żaden sposób, który mógłby unieważnić podpis.

Po trzecie, wiadomość trafia do systemu filtracji antyspamowej odbiorcy. Filtr sprawdza podpis DKIM i stwierdza, że jest on autentyczny — pochodzi od zaufanego domeny, a podpis kryptograficzny jest prawidłowy. System przepuszcza wiadomość, traktując ją jako bezpieczną.

Dlaczego filtry nie wykrywają tego zagrożenia?

Standardowe systemy bezpieczeństwa poczty elektronicznej skupiają się przede wszystkim na weryfikacji autentyczności podpisu i pochodzenia domeny. Jeśli wiadomość ma prawidłowy podpis DKIM od domeny Google.com czy Apple.com, system automatycznie uznaje ją za wiarygodną.

Problem polega na tym, że DKIM nie chroni przed powtórnym wysłaniem tej samej wiadomości. Protokół nie zawiera mechanizmu, który by śledził, czy dana wiadomość została już raz wysłana, czy też jest wysyłana po raz pierwszy. Dla systemu filtracji każde wysłanie wygląda identycznie — zawsze z tym samym, ważnym podpisem.

Dodatkowo, wiele filtrów antyspamowych nie weryfikuje kontekstu wiadomości — na przykład tego, czy adres odbiorcy jest zgodny z tym, do którego wiadomość była pierwotnie skierowana. Jeśli wiadomość została przechwycona dla użytkownika A i wysłana do użytkownika B, system może tego nie zauważyć.

Które firmy są celem takich ataków?

Badacze zaobserwowali, że atakujący preferują podszywanie się pod marki o najwyższym zaufaniu na rynku. Google, Apple i PayPal to firmy, które większość użytkowników automatycznie ufa — ich wiadomości są otwierane bez podejrzeń, a linki klikane bez wahania.

Wybór tych konkretnych nadawców nie jest przypadkowy. Każda z tych firm regularnie wysyła wiadomości do swoich użytkowników — powiadomienia o bezpieczeństwie, potwierdzenia transakcji, aktualizacje kont. Ofiary ataku mogą nie podejrzewać nic złego, bo tego typu komunikacja jest dla nich normalna.

Cechy ataku DKIM replay	Charakterystyka
Sposób przechwycenia	Przechwycenie autentycznej wiadomości w sieci
Modyfikacja wiadomości	Brak — wiadomość wysyłana w oryginalnej formie
Status podpisu DKIM	Pozostaje ważny i autentyczny
Sposób obejścia filtrów	Prawidłowy podpis przechodzi weryfikację
Docelowe firmy	Google, Apple, PayPal
Cel ataku	Phishing, kradzież danych, oszustwo

Co to oznacza dla Ciebie?

Ten typ ataku stanowi realne zagrożenie dla każdego użytkownika poczty elektronicznej. Nawet jeśli jesteś ostrożny i zwykle nie ufasz podejrzanym e-mailom, wiadomość z poprawnymi podpisami od znanych firm może Cię zmylić.

Praktyczne konsekwencje są poważne: jeśli w przechwyconym e-mailu znalazł się link do fałszywej strony logowania lub prośba o potwierdzenie danych, możesz stracić dostęp do swojego konta. Jeśli atak podszywał się pod PayPal, ryzyko obejmuje również dostęp do powiązanych metod płatności.

Zagrożenie dotyczy szczególnie osób, które polegają wyłącznie na systemach filtracji e-mail — myśląc, że jeśli wiadomość przeszła przez filtr, to musi być bezpieczna. Tymczasem atak DKIM replay pokazuje, że nawet przepuszczone przez filtry wiadomości mogą być fałszywe.

Jak się bronić przed atakiem DKIM replay?

Pierwsza linia obrony to zmiana mentalności. Nie zakładaj, że każda wiadomość od znanej firmy jest autentyczna — nawet jeśli ma prawidłowy podpis. Zawsze sprawdź adres e-mail nadawcy z dużą uwagą. Atakujący mogą czasami wykorzystać podobne domeny (na przykład gogle.com zamiast google.com) lub inne techniki wizualne.

Drugą praktyką jest weryfikacja linków przed ich kliknięciem. Jeśli wiadomość prosi Cię o zalogowanie się, przejdź bezpośrednio na oficjalną stronę firmy, wpisując adres w pasku przeglądarki — nie klikaj linku z e-maila. To prosty sposób na uniknięcie fałszywych stron logowania.

Trzecim krokiem jest włączenie weryfikacji dwuetapowej na wszystkich ważnych kontach — Google, Apple, PayPal i innych. Nawet jeśli atakujący uzyska Twoje hasło z fałszywej strony, nie będzie w stanie zalogować się bez drugiego czynnika.

Wreszcie, jeśli podejrzewasz, że otrzymałeś e-mail z ataku DKIM replay, zgłoś go jako phishing do swojego dostawcy poczty. Większość usług e-mail (Gmail, Outlook, Apple Mail) ma wbudowaną funkcję raportowania podejrzanych wiadomości. Twoje zgłoszenie pomaga systemom bezpieczeństwa w identyfikacji nowych zagrożeń.