Bagaimana Saya Dapat Menemukan Dari Mana Sebuah Email Berasal?

KONTEN TIDAK CACHED

Hanya karena sebuah email muncul di kotak masuk Anda yang berlabel [email protected], tidak berarti bahwa Bill benar-benar ada hubungannya dengan itu. Baca terus selagi kami menjelajahi cara menggali dan melihat dari mana sebenarnya email yang mencurigakan berasal.

Sesi Tanya & Jawab hari ini hadir atas kebaikan SuperUser — subdivisi Stack Exchange, pengelompokan situs web Tanya Jawab yang didorong komunitas.

Pertanyaan

Pembaca SuperUser, Sirwan ingin tahu cara mengetahui dari mana email sebenarnya berasal:

Bagaimana saya bisa tahu dari mana email sebenarnya berasal?
Apakah ada cara untuk mengetahuinya?
Saya pernah mendengar tentang header email, tetapi saya tidak tahu di mana saya dapat melihat header email, misalnya di Gmail.

Mari kita lihat header email ini.

Jawaban

Kontributor SuperUser Tomas menawarkan tanggapan yang sangat mendetail dan berwawasan:

Lihat contoh penipuan yang telah dikirimkan kepada saya, berpura-pura dari teman saya, mengklaim bahwa dia telah dirampok dan meminta bantuan keuangan kepada saya. Saya telah mengubah nama - misalkan saya Bill, penipu telah mengirim email ke [email protected] , berpura-pura dia [email protected] . Perhatikan bahwa Bill harus meneruskan ke [email protected] .

Pertama, di Gmail, gunakan menunjukkan yang asli :

Kemudian, email lengkap dan headernya akan terbuka:

Dikirim-Ke: [email protected]
Diterima: oleh 10.64.21.33 dengan SMTP id s1csp177937iee;
        Sen, 8 Jul 2013 04:11:00 -0700 (PDT)
X-Diterima: oleh 10.14.47.73 dengan SMTP id s49mr24756966eeb.71.1373281860071;
        Sen, 08 Jul 2013 04:11:00 -0700 (PDT)
Jalur Kembali: <[email protected]>
Diterima: dari maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        oleh mx.google.com dengan ESMTPS id j47si6975462eeg.108.2013.07.08.04.10.59
        untuk <[email protected]>
        (versi = TLSv1 cipher = RC4-SHA bits = 128/128);
        Sen, 08 Jul 2013 04:11:00 -0700 (PDT)
Received-SPF: neutral (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 tidak diizinkan atau ditolak oleh catatan tebakan terbaik untuk domain SRS0=Znlt=QW=yahoo.com=alice@domain .com) klien-ip = 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1;
Hasil Otentikasi: mx.google.com;
       spf = netral (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 tidak diizinkan atau ditolak oleh catatan tebakan terbaik untuk domain [email protected] ) [email protected]
Diterima: oleh maxipes.logix.cz (Postfix, dari userid 604)
    id C923E5D3A45; Sen, 8 Jul 2013 23:10:50 +1200 (NZST)
X-Original-To: [email protected]
X-Greylist: tertunda 00:06:34 oleh SQLgrey-1.8.0-rc1
Diterima: dari elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    oleh maxipes.logix.cz (Postfix) dengan ESMTP id B43175D3A44
    untuk <[email protected]>; Sen, 8 Jul 2013 23:10:48 +1200 (NZST)
Diterima: dari [168.62.170.129] (helo = laurence39)
    oleh elasmtp-curtail.atl.sa.earthlink.net dengan esmtpa (Exim 4.67)
    (amplop-dari <[email protected]>)
    id 1Uw98w-0006KI-6y
    untuk [email protected]; Sen, 08 Jul 2013 06:58:06 -0400
Dari: "Alice" <[email protected]>
Perihal: Masalah Perjalanan yang Mengerikan ..... Mohon balas secepatnya
Kepada: [email protected]
Jenis Konten: multi bagian / alternatif; batas = "jtkoS2PA6LIOS7nZ3bDeIHwhuXF = _9jxn70"
Versi MIME: 1.0.2
Balas-Ke: [email protected]
Tanggal: Sen, 8 Jul 2013 10:58:06 +0000
ID-Pesan: <[email protected]>
X-ELNK-jejak: 52111ec6c5e88d9189cb21dbd10cbf767e972de0d01da940e632614284761929eac30959a519613a350badd9bab72f9c350badd9bab72f9c350badd9bab72f9c
X-Originating-IP: 168.62.170.129

[... I have cut the email body ...]

Header harus dibaca secara kronologis dari bawah ke atas - terlama ada di bawah. Setiap server baru akan menambahkan pesannya sendiri - dimulai dengan Diterima . Sebagai contoh:

Diterima: dari maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        oleh mx.google.com dengan ESMTPS id j47si6975462eeg.108.2013.07.08.04.10.59
        untuk <[email protected]>
        (versi = TLSv1 cipher = RC4-SHA bits = 128/128);
        Sen, 08 Jul 2013 04:11:00 -0700 (PDT)

Ini mengatakan itu mx.google.com telah menerima surat dari maxipes.logix.cz di Sen, 08 Jul 2013 04:11:00 -0700 (PDT) .

Sekarang, untuk menemukan file nyata pengirim email Anda, tujuan Anda adalah menemukan gerbang tepercaya terakhir - terakhir saat membaca tajuk dari atas, yaitu pertama dalam urutan kronologis. Mari kita mulai dengan mencari server email Bill. Untuk ini, Anda meminta data MX untuk domain tersebut. Anda bisa menggunakan beberapa alat online , atau di Linux Anda dapat menanyakannya pada baris perintah (perhatikan nama domain asli diubah menjadi domain.com ):

~ $ host -t MX domain.com
domain.com MX 10 broucek.logix.cz
domain.com MX 5 maxipes.logix.cz

Jadi, Anda melihat server email untuk domain.com adalah maxipes.logix.cz atau broucek.logix.cz . Karenanya, "lompatan" tepercaya terakhir (secara kronologis pertama) - atau "Catatan yang diterima" terakhir yang tepercaya atau apa pun namanya - adalah yang ini:

Diterima: dari elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    oleh maxipes.logix.cz (Postfix) dengan ESMTP id B43175D3A44
    untuk <[email protected]>; Sen, 8 Jul 2013 23:10:48 +1200 (NZST)

Anda dapat mempercayai ini karena ini dicatat oleh server email Bill untuk domain.com . Server ini mendapatkannya dari 209.86.89.64 . Ini bisa jadi, dan sering kali, pengirim email sebenarnya - dalam hal ini scammer! Kamu bisa periksa IP ini di daftar hitam . - Lihat, dia terdaftar dalam 3 daftar hitam! Ada catatan lain di bawahnya:

Diterima: dari [168.62.170.129] (helo = laurence39)
    oleh elasmtp-curtail.atl.sa.earthlink.net dengan esmtpa (Exim 4.67)
    (amplop-dari <[email protected]>)
    id 1Uw98w-0006KI-6y
    untuk [email protected]; Sen, 08 Jul 2013 06:58:06 -0400

tetapi Anda tidak dapat benar-benar mempercayai ini, karena itu hanya dapat ditambahkan oleh penipu untuk menghapus jejaknya dan / atau membuat jejak palsu . Tentu masih ada kemungkinan bahwa server 209.86.89.64 tidak bersalah dan hanya bertindak sebagai relay untuk penyerang sebenarnya di 168.62.170.129 , tetapi kemudian estafet sering dianggap bersalah dan sangat sering masuk daftar hitam. Pada kasus ini, 168.62.170.129 bersih jadi kita bisa hampir yakin serangan itu dilakukan 209.86.89.64 .

Dan tentu saja, seperti yang kita ketahui bahwa Alice menggunakan Yahoo! dan elasmtp-curtail.atl.sa.earthlink.net tidak ada di Yahoo! jaringan (Anda mungkin ingin Cek kembali informasi IP Whois nya ), kami dapat menyimpulkan dengan aman bahwa email ini bukan dari Alice, dan bahwa kami tidak boleh mengirimkan uang kepadanya untuk liburan yang diklaimnya di Filipina.

Dua kontributor lainnya, Ex Umbris dan Vijay, masing-masing merekomendasikan layanan berikut untuk membantu mendekode header email: SpamCop dan Alat Analisis Header Google .

---