Спуфинг — что это такое: виды, примеры и защита

Определение

Спуфинг (от английского spoof — подделка, мистификация) — подмена идентификатора, чтобы выдать себя за доверенный источник. Подделывают то, по чему получатель решает, можно ли верить: номер звонящего, имя отправителя SMS, адрес «От кого» в письме, домен в ссылке, IP- и DNS-адрес, координаты спутниковой навигации. Цели две: обойти проверку в системе или обмануть человека.

Спуфинг — приём, а не конечная цель. Фишинг, вишинг и смишинг пользуются им, чтобы обман выглядел настоящим, а украсть хотят данные или деньги. Иногда достаточно подделать один признак: знакомый номер банка на экране снимает у человека часть сомнений.

Виды подмены

Что подделывают	Как выглядит для человека
Номер звонящего	на экране знакомый номер банка или службы
Имя отправителя SMS	сообщение приходит под буквенным именем банка или Госуслуг
Адрес отправителя письма	в поле «От кого» стоит адрес известной компании
Домен в ссылке или QR	адрес похож на настоящий: лишняя буква, другой алфавит, бренд в поддомене
IP- и ARP-адрес в сети	устройство выдаёт себя за роутер или другой узел локальной сети
DNS-ответ	правильный адрес сайта открывает чужой сервер
Спутниковый сигнал (GPS, ГЛОНАСС)	приёмник показывает неверные координаты или время

Номер звонящего подменяют через IP-телефонию. Адрес в поле «От кого» протокол электронной почты сам не проверяет, поэтому для проверки существуют записи SPF, DKIM и DMARC. Подмена имени отправителя SMS — один из приёмов смишинга.

Спуфинг и QR-коды

QR прячет адрес до сканирования: подмена домена работает так же, как в письме, но навести курсор и прочитать ссылку заранее нельзя. Три приёма:

домен-двойник — bank-online.example вместо настоящего, лишняя или заменённая буква (кириллическая «а» выглядит как латинская «a»);
настоящее имя в начале адреса: в bank.ru.check-pay.example владелец — check-pay.example, потому что принадлежность определяют последние части имени перед первой косой чертой;
настоящий домен и чужой адрес назначения — уязвимость открытого редиректа.

Признаки такого домена разобраны в термине вредоносный URL. Прочитать ссылку из кода до открытия можно в онлайн-сканере QR-кодов.

Как не поддаться подмене

Звонок. Номер на экране — не удостоверение. Перезвоните сами по номеру с карты или с сайта.
SMS и письмо. Имя отправителя и адрес «От кого» подделываются, смотрите на ссылку и на то, что просят сделать.
Ссылка и QR. Выделите домен — часть адреса от двойной косой черты до следующей косой черты — и прочитайте его справа налево до открытия ссылки. Как проверять код, разобрано в статье «Как проверить QR-код на безопасность».
Геолокация. Если присутствие подтверждают координатами телефона, помните: их можно подменить программно, одной геометки для строгой проверки мало.

Владельцу домена стоит настроить SPF, DKIM и DMARC: так проще отсеять письма с поддельным адресом отправителя от вашего имени.

Частые вопросы

Чем спуфинг отличается от фишинга?

Фишинг — цель: выманить данные или деньги. Спуфинг — приём: подделка номера, адреса или домена, которая делает обман убедительным. Фишинг бывает и без спуфинга, а спуфинг без фишинга — например, подмена навигационного сигнала, где никто ничего не выманивает.

Можно ли подделать номер банка в звонке?

Да. Номер звонящего можно подменить через IP-телефонию, поэтому совпадение с номером банка ничего не доказывает. Банк России советует прервать разговор и перезвонить по номеру с карты или с официального сайта банка, а не по тому, который назвал звонящий.

Что такое спуфинг GPS?

Подмена навигационного сигнала: приёмник принимает ложный сигнал за спутниковый и показывает неверные координаты или время. От глушения это отличается тем, что при глушении сигнала нет совсем, а при спуфинге он есть, но неправильный. На смартфоне координаты можно подменить и программно.

Как прочитать домен в адресе из QR-кода?

Всё до первой одиночной косой черты — имя сервера, а владельца, как правило, определяют последние две части, например check-pay.example. Всё левее — поддомены, их создаёт владелец домена. Кириллические адреса браузер может показать с приставкой «xn--»: это запись юникода латиницей, и на настоящих доменах вроде .рф она тоже встречается.

Спуфинг и подмена QR-стикера — одно и то же?

Нет. Спуфинг подделывает идентификатор: адрес, номер, домен. Подмена стикера заменяет сам носитель: на настоящий код клеят чужой. Результат похож — человек верит источнику, потому что всё выглядит привычно, — но проверяют их по-разному: адрес читают, наклейку ощупывают и сверяют с оригиналом.

Спуфинг: что это такое, виды подмены и при чём тут QR-коды