Проверка подлинности Gmail проверяет домен отправителя, а не романтическое заявление

Что на самом деле показывают строки аутентификации Gmail

Когда вы открываете подробности сообщения в Gmail, вы можете увидеть строки, такие как «Mailed by» и «Signed by», а также предупреждение, если отправитель не аутентифицирован. Эти строки касаются домена отправителя: был ли он авторизован для отправки и присутствует ли подпись. Это проверки почтовой инфраструктуры, а не личности романтического отправителя и не правдивости содержания сообщения. Сам Gmail отмечает, что неаутентифицированные сообщения не обязательно являются спамом и что даже спамеры могут пройти эти проверки. Читайте эти строки как один небольшой технический сигнал среди многих, а не как вердикт. [Помощь Gmail: аутентификация сообщений]

• Открывайте сведения о сообщении только для собственной проверки; не пересылайте полные приватные заголовки незнакомцам или неизвестным сайтам.

Прохождение проверки — не доверие, а провал — не вина

Распространённая ошибка встречается в обе стороны. Сообщение со строками Mailed by и Signed by всё ещё может быть мошенничеством с домена, созданного именно для этой цели, поскольку аутентификация говорит лишь об авторизации отправки и подписях. Сообщение, не прошедшее эти проверки, может исходить от законного, но неверно настроенного отправителя. Ни один из исходов не говорит вам, тот ли человек пишет, кто он себя называет, реальна ли история знакомства или безопасен ли запрос. Держите наблюдение отдельно от решения: техническая строка подсказывает осторожность, а ваше решение должно опираться на независимую проверку.

Сначала займитесь запросом, а потом спорьте об отправителе

Если сообщение из контекста знакомств просит денег, кодов входа, доступа к аккаунту, подарочных карт или документов, удостоверяющих личность, защитное действие стоит на первом месте. Не отвечайте на подозрительное требование и не используйте контактные данные, указанные в этом сообщении. Вместо этого свяжитесь с человеком или поставщиком через номер телефона, приложение или веб-сайт, которые вы знали ещё до получения сообщения. Если вы уже передали учётные данные, смените затронутый пароль и включите многофакторную аутентификацию там, где она предлагается. Эти шаги ограничивают вред, пока вы разбираетесь, что произошло, и не требуют от вас решать прямо сейчас, нечестен ли отправитель. [FTC: Как распознать и избежать фишинговых мошенничеств]

• Не отвечайте на требование и не используйте контактные данные из самого сообщения.
• Смените любой пароль, который вы ввели, и включите многофакторную аутентификацию для этого аккаунта.
• Свяжитесь с человеком или поставщиком через маршрут, которому вы уже доверяли.

Не допускайте приватные заголовки к сторонним инструментам

Хочется вставить полное письмо в бесплатный сайт проверки заголовков ради быстрого вердикта. Это передаёт приватное содержимое, адреса и данные маршрутизации неизвестному оператору, а результат всё равно не установил бы, кто отправитель. Если хотите осмотреть сообщение, оставайтесь в почтовом интерфейсе, которым уже пользуетесь, и читайте видимые строки там. Если инструмент или человек просит полное исходное сообщение, считайте это границей доступа: откажитесь и остановитесь. Вывод аутентификации, каким бы подробным он ни был, не заменяет проверку запроса с кем-то, кого вы независимо знаете. [Помощь Gmail: аутентификация сообщений]

Разобранный пример, явно гипотетический

Предположим, знакомство на сайте знакомств присылает сообщение, которое выглядит правильно аутентифицированным, и просит подтвердить оплату совместной поездки по ссылке в той же переписке. Пройденные строки аутентификации говорят вам, что домен отправки был уполномочен отправлять; они ничего не говорят о том, реальны ли поездка или человек. Более безопасный путь — пропустить ссылку, связаться с человеком через канал, который у вас уже есть, и изложить запрос простыми словами. Если вы не можете найти независимый маршрут, не отправляйте деньги, полагаясь лишь на письмо. Если же сообщение несёт предупреждение о неаутентифицированности, это дополнительный повод сделать паузу, а не вывод, что знакомство мошенническое. [Помощь Gmail: аутентификация сообщений]

• Запишите, что именно просит сообщение, прежде чем что-либо решать.
• Используйте ранее известный маршрут связи, чтобы подтвердить запрос.
• Откажитесь действовать, пока проверка недоступна, и скажите об этом прямо.

Если элемент управления или информация недоступны

Иногда в представлении сведений не показываются строки, которые вы надеялись прочитать, или баннер отсутствует, или вы не можете найти независимый маршрут связи. Зафиксируйте, что информация недоступна, и остановитесь на границе доступа, а не гадайте. Попросите человека через маршрут, которому доверяете, прислать актуальную добровольную ссылку или иной способ подтверждения. Не считайте отсутствующий значок, отсутствующее предупреждение или тихое сообщение признаком безопасности или вины. Пробел в том, что вы можете видеть, — это просто пробел. [FTC: Как распознать и избежать фишинговых мошенничеств]

Спокойное возвращение к разговору

Как только любая проблема с аккаунтом или деньгами улажена, вы можете вернуться к разговору, никого не обвиняя. Задайте простой, конкретный вопрос о том, зачем был сделан запрос и как вы могли бы подтвердить его через маршрут, который знаете оба. Помните, что данные публичного профиля, совпадающее фото или статус, выглядящий проверенным, не являются доказательством личности или намерений. Ваша цель — практическое решение о том, что делать дальше, а не приговор характеру другого человека. Если человек сопротивляется независимому подтверждению, это сопротивление — полезная информация для вашего собственного решения. [Помощь Gmail: аутентификация сообщений]

Ещё пара вопросов