از آدرس خودم ایمیل مشکوک دریافت کرده‌ام؛ آیا حسابم هک شده است؟

یک ایمیل تهدیدآمیز یا تبلیغاتی دریافت کرده‌اید که ظاهراً فرستنده آن خود شما هستید. شاید هم دوستانتان می‌گویند از آدرس شما پیام عجیبی گرفته‌اند. دیدن نشانی شما در قسمت From به‌تنهایی ثابت نمی‌کند شخصی وارد حساب ایمیل شده است؛ فرستنده می‌تواند نشانی نمایشی نامه را جعل کند. در عین حال، احتمال دسترسی واقعی به حساب را هم نباید بدون بررسی کنار گذاشت.

در ادامه ابتدا پیام را با خیال راحت کنار می‌گذاریم، سپس دنبال نشانه‌های واقعی ورود یا ارسال می‌گردیم و برای دامنه اختصاصی، راه کاهش جعل را توضیح می‌دهیم.

روی لینک، فایل پیوست، شماره تماس یا دستور پرداخت داخل پیام مشکوک عمل نکنید. به آن پاسخ ندهید و اطلاعات ورود یا کد تأیید را در اختیار فرستنده نگذارید. اگر پیام شما را به ورود فوری دعوت می‌کند، به‌جای دنبال‌کردن لینک، نشانی رسمی سرویس ایمیل را خودتان باز کنید.

نام نمایشی و آدرس واقعی را جدا ببینید. نامی مانند «پشتیبانی» یا نام خودتان می‌تواند برای یک آدرس متفاوت تنظیم شده باشد. حتی اگر خود آدرس From دقیقاً مثل آدرس شماست، این بخش هم قابل جعل است. راهنمای Gmail درباره نشانی فرستنده جعلی نمونه همین وضعیت را توضیح می‌دهد.

اگر پیام صرفاً ادعای داشتن رمز یا ویدئو دارد، همان ادعا اثبات دسترسی مهاجم نیست. با این حال اگر رمزی که می‌شناسید در پیام آمده و هنوز جایی استفاده می‌شود، از دستگاه امن آن رمز را در حساب‌های مرتبط عوض کنید؛ ممکن است از اطلاعات افشاشده قدیمی استفاده شده باشد.

از دستگاهی که به آن اعتماد دارید وارد پنل رسمی ایمیل شوید. پوشه ارسال‌شده و در صورت امکان گزارش ارسال سرویس را برای زمان و گیرنده مربوط بررسی کنید. وجود پیام ناشناس در پوشه ارسال‌شده نشانه مهمی است، اما نبود آن اثبات قطعی امن‌بودن حساب نیست؛ بعضی روش‌های ارسال یا حذف پیام ممکن است اثری در این پوشه باقی نگذارند.

در بخش امنیت حساب، نشست‌ها، دستگاه‌های شناخته‌شده و ورودهای اخیر موجود را با فعالیت خودتان مقایسه کنید. در تنظیمات ایمیل، قوانین فوروارد، فیلترها، دسترسی برنامه‌های متصل و آدرس بازیابی را ببینید. یک قانون ناشناس که پیام‌ها را به جای دیگری می‌فرستد یا تغییری که شما انجام نداده‌اید، نیاز به رسیدگی دارد. همه ارائه‌دهنده‌ها گزارش یکسانی نشان نمی‌دهند؛ نبود گزارش نیز دلیل قطعی نبود دسترسی نیست.

اگر به دسترسی غیرمجاز مشکوک هستید، از مسیر رسمی سرویس و روی دستگاه مطمئن رمز را تغییر دهید، نشست‌های مشکوک را طبق امکانات سرویس خارج کنید، روش بازیابی و دسترسی‌های ناشناس را اصلاح و احراز هویت دومرحله‌ای را در صورت پشتیبانی فعال کنید. اثر این کار بر برنامه‌های ایمیل و کاربران مجاز را در نظر بگیرید. رمز یا کد تأیید را برای فردی که از طریق همان ایمیل مشکوک تماس گرفته نفرستید.

اگر دامنه و ایمیل روی سی‌پنل مدیریت می‌شوند و به پنل مجاز دسترسی دارید، بخش Email ← Track Delivery می‌تواند برای برخی پیام‌ها اطلاعاتی درباره مسیر و نتیجه تحویل نشان دهد. نام فرستنده، گیرنده و زمان تقریبی را در محدوده گزارش جست‌وجو کنید. این ابزار همه رویدادهای تمام سامانه‌های بیرونی را نشان نمی‌دهد و مدت نگهداری گزارش محدود است؛ نبود رکورد به‌تنهایی جعل را ثابت نمی‌کند.

اگر گزارش نشان دهد پیام واقعاً از حساب مجاز یا سامانه سایت شما ارسال شده، علت را جدی‌تر بررسی کنید: حساب ایمیل، فرم سایت، برنامه ارسال یا دسترسی‌های مجاز را با مدیر سرویس تطبیق دهید. اگر نشانه‌ای از ارسال از سرویس خودتان پیدا نمی‌شود و نتیجه احراز هویت گیرنده با فرستنده ادعایی نمی‌خواند، جعل یکی از احتمال‌هاست. راهنمای خواندن Track Delivery جزئیات نتیجه‌های رایج را توضیح می‌دهد.

در Gmail معمولاً از منوی سه‌نقطه کنار پیام می‌توانید گزینه Show original را باز کنید؛ در وب‌میل‌ها و برنامه‌های دیگر گزینه‌ای مانند نمایش منبع یا سربرگ وجود دارد. بخش‌های SPF، DKIM و DMARC ممکن است نتیجه‌هایی مانند pass یا fail نشان دهند. فقط به وجود واژه pass در یک متن تصادفی اکتفا نکنید: دامنه‌ای که تأیید شده، هم‌ترازی آن با From و اینکه گزارش توسط سرویس دریافت‌کننده معتبر افزوده شده اهمیت دارند.

پیام‌های فورواردشده، فهرست‌های پستی و سامانه‌های واسط می‌توانند نتیجه احراز هویت را پیچیده کنند؛ یک SPF fail به‌تنهایی همیشه جعلی‌بودن پیام را ثابت نمی‌کند. سربرگ کامل ممکن است نشانی، IP و اطلاعات داخلی داشته باشد؛ قبل از اشتراک، آن را در مسیر امن و با حذف داده غیرضروری ارائه کنید. از ابزار ناشناس که رمز ایمیل می‌خواهد استفاده نکنید.

اگر ایمیل با دامنه اختصاصی شرکت شما ارسال می‌شود، فهرست همه فرستنده‌های مجاز را تهیه کنید: صندوق‌های شرکت، فرم سایت، سامانه خبرنامه و هر سرویس دیگری که از نام دامنه استفاده می‌کند. سپس وضعیت SPF و DKIM و سیاست DMARC را در DNS فعال همان دامنه با مدیر ایمیل بررسی کنید.

SPF به گیرنده درباره برخی فرستنده‌های مجاز اطلاعات می‌دهد، DKIM امکان بررسی امضای پیام را فراهم می‌کند و DMARC نتیجه و هم‌ترازی را در سیاست دامنه به کار می‌گیرد. سیاست p=none عمدتاً برای پایش است و به‌تنهایی درخواست رد پیام نامعتبر نمی‌دهد. اعمال ناگهانی سیاست سخت‌گیرانه بدون شناسایی فرستنده‌های واقعی می‌تواند ایمیل‌های سالم فروشگاه یا شرکت را نیز مختل کند؛ ابتدا گزارش‌ها و ارسال‌های واقعی را بررسی و مرحله بعد را با مدیر ایمیل تعیین کنید.

برای مطالعه دقیق‌تر، راهنمای بررسی رکورد DKIM و راهنمای خواندن گزارش DMARC توضیح می‌دهند چگونه نتیجه‌ها را ببینید. این سازوکارها همه شکل‌های فیشینگ، جعل نام نمایشی یا دسترسی واقعی به حساب را به‌تنهایی متوقف نمی‌کنند.

اگر شواهد دسترسی غیرمجاز وجود داشت، پس از ایمن‌سازی حساب، دستگاه‌ها و برنامه‌های متصل، ارسال آزمایشی و قوانین ایمیل را دوباره بررسی کنید. در صورت نیاز از مسیر مستقل و مورد اعتماد به افرادی که احتمالاً پیام مخرب گرفته‌اند اطلاع دهید. اگر فقط جعل نشانی مطرح است، پیام را با ابزار سرویس به‌عنوان هرزنامه یا فیشینگ گزارش کنید و گزارش‌های بعدی را زیر نظر بگیرید.

برای صاحب دامنه، صفحه ثبت دامنه نت‌آرام اطلاعات مدیریت دامنه را ارائه می‌کند؛ رکوردهای واقعی و سیاست ارسال باید متناسب با سامانه ایمیل همان دامنه تنظیم شوند. نتیجه بررسی را بر اساس گزارش سرویس و زمان رخداد بنویسید، نه صرفاً نشانی نمایش‌داده‌شده در پیام.