Análisis de enlaces
Stoïk Email Security inspecciona los enlaces que encuentra en los correos electrónicos que analiza. Esta página explica qué hacen nuestros sistemas con esos enlaces y cómo informar de un enlace que debería dejarse en paz.
Por qué se resuelven los enlaces
El phishing rara vez se delata en el cuerpo de un mensaje. La señal está en el destino: un enlace acortado que lleva a un dominio parecido al original, o una cadena de redirecciones que termina en un dominio registrado hace tres días.
Leer un enlace tal como está escrito no nos dice nada de eso. El enlace tiene que resolverse para ver adónde va realmente.
Qué hace el análisis
Por cada enlace de un correo analizado, Stoïk envía una solicitud HTTP HEAD y sigue hasta cinco redirecciones.
Una HEAD solicitud pide a un servidor solo los encabezados de la respuesta. Es la misma solicitud que al abrir la página, sin el contenido de la página. Se usa en lugar de cargar la página completa porque es la forma menos pesada de saber adónde conduce un enlace.
A partir de ella, Stoïk registra el final de la cadena de redirecciones, el número de saltos y la reputación del dominio de destino. La solicitud expira después de dos segundos.
Cuando el análisis va más allá
Si el dominio de destino parece sospechoso, es decir, si tiene mala reputación, fue registrado recientemente o aparece rara vez entre los buzones que protegemos, la página se abre en un entorno de navegador aislado y se captura una captura de pantalla. Luego, un modelo de visión decide si la página es un kit de robo de credenciales y qué marca imita.
Un dominio bien establecido y visto con frecuencia nunca llega a esa fase. Se resuelve un enlace a un proveedor importante, pero su página nunca se carga.
Cargar una página significa que la página ejecuta su propio JavaScript, exactamente igual que lo haría en el navegador de un visitante, y una página puede emitir sus propias solicitudes mientras lo hace. Esas solicitudes provienen de la página, no de instrucciones que le damos. Cuando una página es inaccesible por un desafío antibot, la captura pasa por un solucionador que negocia primero el desafío.
Lo que el análisis nunca hace
Stoïk no actúa en tu nombre. Nuestro análisis no hace clic en ningún botón, no rellena ningún formulario y nunca utiliza tus credenciales. Cuando un enlace desencadenaría algo por el mero hecho de ser solicitado, no se solicita en absoluto: véase Enlaces que se omiten por completo.
Excepción: plataformas de intercambio de archivos
Los atacantes realizan una parte cada vez mayor de su phishing a través de servicios legítimos de intercambio de archivos. Un documento compartido desde una plataforma conocida aprovecha la reputación de esa plataforma y supera la mayoría de los filtros, mientras la trampa permanece dentro del archivo compartido. Juzgar ese correo significa leer lo que realmente se compartió.
Estas plataformas no entregan un documento compartido mediante una simple carga de página. Llegar a una implica hacer la solicitud que la plataforma define para ello: una consulta a su propia API, o el paso de autenticación anónima que realiza un enlace de compartición usando la clave ya contenida en el enlace.
Stoïk hace esto solo en las plataformas que admite explícitamente, y solo con lo que el enlace ya lleva.
Enlaces que se omiten por completo
Algunos enlaces cambian algo en el momento en que se solicitan, incluso por HEADuna sola vez. Un enlace de firma electrónica puede marcar un documento como visto o consumir un token de un solo uso. Un enlace de digest de cuarentena puede liberar un correo bloqueado. Un enlace de cancelación de suscripción con un clic elimina al destinatario de una lista de correo, y un enlace de invitación de calendario puede registrar una respuesta de asistencia.
La norma HTTP es explícita al respecto. La sección 9.2.1 del RFC 9110 define GET y HEAD como métodos seguros: un cliente que envía uno no solicita ni espera ningún cambio de estado en el servidor. La misma sección añade que, cuando un parámetro en la URL selecciona una acción, el propietario de ese recurso debe desactivar la acción cuando se llega a ella con un método seguro. La regla existe para que la recuperación automatizada pueda funcionar sin causar daños.
No todos los servicios la siguen.
Informar de un enlace
Si ves una acción en uno de tus servicios que crees que provino de nuestro análisis, infórmalo a Stoïk a través de tu canal de soporte habitual.
Detalles útiles:
El servicio afectado
La dirección del buzón afectado
Aproximadamente cuándo ocurrió
El propio enlace, si aún lo conservas
El destino se añade a la lista de अनुमति?
Última actualización
¿Te fue útil?