Čítanie odosielateľa a hlavičiek

Modul 3: Rozpoznanie phishingu · Čas čítania: 13 minút

Cieľ lekcie: Po tejto lekcii dokážete posúdiť odosielateľa mailu na základe zobrazovaného mena, adresy From, hlavičky Reply-To, Return-Path, riadkov Received a výsledku SPF, DKIM a DMARC v Authentication-Results.
Kľúčové pojmy: zobrazované meno, From, Reply-To, Return-Path, Received, Authentication-Results, výsledok SPF/DKIM/DMARC, uitlíning (zhoda domén)

Čo vidíte a čo tam skutočne je

Poštový program vám väčšinou ukáže len malú časť informácií o odosielateľovi: meno, niekedy adresu. Za tým sa skrýva blok technických riadkov, ktoré bežne nevidíte, takzvané hlavičky. V nich je uvedené, za koho sa mail vydáva, kam chce dostať odpovede, cez ktoré servery prešiel a čo overil váš poštový server.

Nemusíte byť technik, aby ste ich vedeli prečítať. Potrebujete poznať šesť z nich:

Prvé tri môže odosielateľ vyplniť úplne ľubovoľne. Až pri posledných troch prebieha skutočná kontrola.

Zobrazované meno nič nehovorí

Zobrazované meno je obyčajný text. Ktokoľvek môže ako meno použiť „Mojabanka Zákaznícka linka“ alebo meno vášho riaditeľa. Mnohé poštové programy, najmä v mobile, zobrazujú len toto meno. Obľúbený trik je adresa vložená do mena:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Vidíte info@mijnbank.example, no skutočná adresa je medzi lomenými zátvorkami. Vždy si teda kliknite alebo ťuknite na meno, aby ste videli celú adresu.

Aj samotná adresa From sa dá sfalšovať: v poštovom protokole môže server uviesť akúkoľvek adresu From. Či sa to podarí bez toho, aby mail skončil v spame, závisí od SPF, DKIM a DMARC domény, za ktorú sa odosielateľ vydáva. O tom je zvyšok tejto lekcie.

Reply-To: odpoveď niekomu inému

Hlavičkou Reply-To mail hovorí: „neodpovedajte mne, ale na túto adresu“. Newslettery a webové formuláre to bežne využívajú. Podvodníci to používajú na to, aby prevzali konverzáciu. Mail príde zo skutočnej alebo na prvý pohľad skutočnej adresy, ale vaša odpoveď, s požadovanými údajmi alebo potvrdením platby, pôjde útočníkovi.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Pri žiadosti o peniaze alebo údaje si vždy všimnite adresu v okne odpovede predtým, než stlačíte Odoslať.

Return-Path, Received a trasa

Return-Path je adresa, na ktorú idú chybové hlásenia. Nazýva sa aj adresa na obálke: adresa na vonkajšej strane obálky, zatiaľ čo From je na samotnom liste. Práve na tejto doméne kontroluje SPF. Pri newsletteroch a faktúrach z účtovného programu je Return-Path často doména odosielacej služby. To je bežné.

Každý server, ktorý mail odovzdáva ďalej, pridá vlastný riadok Received navrch. Čítate ich teda zdola nahor: spodný riadok je začiatok trasy, horný riadok je posledná stanica (váš vlastný poštový server). Pozor: dôverovať môžete len horným riadkom, ktoré pridal váš vlastný poskytovateľ. Pod nimi môže odosielateľ poslať aj vymyslené riadky.

Authentication-Results: výsledok kontroly

Váš vlastný poštový server pri doručení overuje tri veci (viac v module 4 a v DNS kurze):

• SPF: mal tento server právo posielať mail za doménu v Return-Path?
• DKIM: sedí digitálny podpis a akej domény je (d= alebo header.d=)?
• DMARC: patrí aspoň jedna z týchto dvoch úspešných kontrol k doméne v From? Tomu sa hovorí zhoda (alignment). „Patrí k“ znamená: rovnaká registrovateľná doména (lekcia 3.2). mail.mijnbank.example je zhodné s mijnbank.example (rovnaká registrovateľná doména).

Výsledok je uvedený v Authentication-Results. Dôverujte len riadku, kde je na začiatku meno vášho vlastného poštového servera; odosielateľ si môže poslať aj svoj vlastný podobný riadok.

Najdôležitejšie ponaučenie: dmarc=pass znamená iba „tento mail skutočne pochádza z domény uvedenej vo From“. Nehovorí nič o tom, či je tejto doméne možné dôverovať. Útočník s vlastnou podobnou doménou (lookalike) môže mať všetko riadne nastavené na pass.

V praxi: takto to vyzerá

Tri napodobené bloky hlavičiek, skrátené na riadky, na ktorých záleží. Príjemcom je Pekáreň Example; vlastný poštový server sa volá mx1.example.com.

Príklad 1: skutočný.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

Doména vo From je mijnbank.example a DKIM je podpísaný doménou mijnbank.example, Return-Path tiež patrí pod ňu: obe sú zhodné, DMARC uspeje. Mail skutočne pochádza z tejto domény. Pre ročný prehľad napriek tomu choďte cez vlastnú záložku na stránku banky.

Príklad 2: sfalšovaný odosielateľ.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF je úspešné, ale pre doménu aanvaller.example, nie pre doménu z From. Podpis chýba. DMARC teda zlyhá. Keďže dodávateľ má nastavené p=none, mail bol napriek tomu doručený. Pri p=reject by bol odmietnutý. K tomu sa pridáva aj Reply-To smerujúce na inú doménu. Podvod.

Príklad 3: lookalike doména so všetkým na pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Potvrďte svoje údaje kvôli novej platobnej karte

Všetko je úspešné, pretože útočník má pre svoju vlastnú doménu všetko správne nastavené. Lenže mijnbank-veilig.example nie je mijnbank.example skutočnej banky. Podvod.

Otvorenie hlavičiek vo vlastnom maile. Vo webmaile založenom na Roundcube (ako u WebOké) otvoríte správu a v ponuke Viac (tri bodky) vyberiete Zobraziť zdroj. Iné programy to nazývajú napríklad „Zobraziť originál“ alebo „Zdroj správy“. V texte vyhľadajte Authentication-Results. V mobile to často nejde; mail si preto pozrite vo webmaile na počítači.

Zhrnutie

• Zobrazované meno, From a Reply-To si vypĺňa samotný odosielateľ. Pred odpovedaním si vždy všimnite skutočnú adresu aj Reply-To.
• Return-Path je adresa na obálke, na ktorej kontroluje SPF. Riadky Received čítate zdola nahor; dôverujte len tým od vlastného poskytovateľa.
• Authentication-Results uvádza výsledok SPF, DKIM a DMARC. DMARC overuje, či je SPF alebo DKIM zhodné s doménou vo From.
• dmarc=fail pri známej doméne je silný signál sfalšovania.
• dmarc=pass dokazuje len to, že mail pochádza z domény uvedenej vo From. Vždy si overte, či je to skutočná doména.

Kvíz

Úloha

Úloha A3.3: Čítanie hlavičiek. Dostanete tri bloky hlavičiek. Pre každý blok vyplňte: doménu v Return-Path, doménu podpisu DKIM (d=), výsledok DMARC a či je mail skutočný alebo podvodný. Program to vyhodnotí a pri chybe označí riadok, kde je odpoveď.

Ďalšie čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje obdobne.

• Čo je DMARC? Vysvetlenie v jednoduchom jazyku
• Môj e-mail nedorazí alebo skončí v spame: ako to zistiť
• Verejná kontrola e-mailu (SPF, DMARC, MX) domény: https://www.weboke.sk/emailcheck, a mailový test od internet.nl: https://internet.nl
• DNS kurz, lekcie 4.3 SPF, 4.4 DKIM a 4.5 DMARC: https://www.weboke.sk/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601