Phishing en echtheid controleren met de Forensische weergave

Wat is de Forensische weergave?

Elk bericht dat je in Mbox Viewer opent, heeft rechtsboven drie tabbladen: Voorvertoning (Preview), Ruw (Raw) en Forensisch (Forensic). De eerste twee tonen de e-mail zoals je hem normaal leest of als kale brontekst. Het tabblad Forensisch doet iets anders: het pluist de verborgen techniek achter de e-mail uit en vertelt je in begrijpelijke taal of het bericht waarschijnlijk echt is of dat er iets niet klopt.

De meeste phishing-mails zien er op het oog prima uit. Ze gebruiken het logo van je bank, een nette ondertekening en een afzendernaam die je vertrouwt. Wat ze niet kunnen verbergen, is de technische sporenlijst die elke e-mail met zich meedraagt: welke server hem verstuurde, of de afzender wel echt mocht versturen namens dat domein, en via welke route hij bij jou kwam. Dat is precies wat de Forensische weergave leesbaar maakt.

De verdachtheidsscore (0 tot 100)

Bovenaan het Forensisch-tabblad zie je een verdachtheidsscore tussen 0 en 100. Dit is een snelle samenvatting: hoe hoger het getal, hoe meer waarschuwingssignalen Mbox Viewer in de e-mail heeft gevonden. Een score dicht bij 0 betekent dat alles klopt wat de extensie kon controleren. Een hoge score betekent dat je voorzichtig moet zijn.

De score is een hulpmiddel, geen eindoordeel. Hij telt de losse signalen bij elkaar op die hieronder worden uitgelegd. Gebruik hem om snel te zien welke berichten je nader moet bekijken, en lees daarna de details om te begrijpen waaróm een bericht verdacht is.

SPF, DKIM en DMARC: mag deze afzender dit wel?

In het blok Authenticatie zie je drie afkortingen met een uitslag: pass (geslaagd) of fail (mislukt). Samen beantwoorden ze de vraag: heeft deze e-mail echt het domein gebruikt dat erboven staat, of doet iemand alsof?

• SPF controleert of de server die de mail verstuurde, van het afzenderdomein mocht versturen. Elk domein publiceert een lijstje met toegestane servers. Staat de verzendende server niet op die lijst, dan is SPF fail. Dat is een sterk teken dat iemand zich voordoet als dat domein.
• DKIM is een digitale handtekening die het verzendende domein op de e-mail zet. Bij ontvangst wordt gecontroleerd of de handtekening klopt en of de inhoud onderweg niet is veranderd. DKIM pass betekent: de mail komt aantoonbaar van dat domein en is onderweg niet geknoeid.
• DMARC is de bovenliggende regel die zegt wat er moet gebeuren als SPF of DKIM faalt, en of de zichtbare afzender (die je in je inbox ziet) overeenkomt met het domein dat de controle doorstond. DMARC pass is het sterkste teken dat de afzender echt is.

Kort gezegd: drie keer pass is geruststellend. Eén of meer keer fail bij een bericht dat van een belangrijke organisatie (bank, overheid, werkgever) lijkt te komen, is een serieuze rode vlag.

De transportketen: de reis die de e-mail aflegde

Elke server die een e-mail onderweg aanraakt, voegt bovenaan een Received-regel toe. Samen vormen die regels de transportketen: een soort stempelboek van het pad dat de mail aflegde, van de verzender tot jouw postvak. Je leest hem van onder naar boven; onderaan staat de eerste server, bovenaan de laatste.

Per stap (hop) toont het Forensisch-tabblad het IP-adres van de server, het tijdstip en of de verbinding met TLS (versleuteling) ging. Dit is nuttig om twee redenen. Ten eerste zie je waar de mail echt vandaan kwam, ongeacht welke afzendernaam in het bericht staat. Ten tweede valt een vreemde route op: een mail die zogenaamd van een Nederlandse bank komt maar via een onbekende server in een ver land binnenkwam, verdient extra argwaan.

Tijdstempels: kloppen de klokken?

Een e-mail heeft een Date-veld (de tijd die de afzender zelf opgaf) en Received-tijden (wanneer servers hem daadwerkelijk doorgaven). Normaal liggen die dicht bij elkaar. Een groot verschil tussen de opgegeven Date en de echte ontvangsttijd kan betekenen dat een datum is vervalst of dat een bericht is teruggedateerd. Het Forensisch-tabblad zet beide naast elkaar zodat je het verschil in één oogopslag ziet.

Hashes: is een bijlage ongewijzigd?

Voor elke bijlage berekent Mbox Viewer hashes: SHA-256, SHA-1 en MD5. Een hash is een soort unieke vingerafdruk van een bestand. Verander je ook maar één teken in het bestand, dan verandert de hele vingerafdruk. Dit is handig op twee manieren: je kunt bewijzen dat een bijlage niet is aangepast (de vingerafdruk blijft gelijk), en je kunt een verdachte bijlage opzoeken in openbare databanken van bekende schadelijke bestanden zonder het bestand zelf te hoeven delen.

Geolocatie van IP-adressen

Bij de servers in de transportketen toont het tabblad waar de IP-adressen ongeveer vandaan komen. Zo zie je in mensentaal of de route logisch is. Komt een zogenaamd lokaal bericht binnen via een land waar de afzender helemaal niets te zoeken heeft, dan is dat een extra puzzelstukje dat richting phishing kan wijzen.

De phishing-signalen die Mbox Viewer herkent

Naast de score en de authenticatie zoekt de Forensische weergave actief naar bekende oplichtingstrucs. Dit zijn de signalen die het benoemt:

• Naam-spoofing: de getoonde afzendernaam (bijvoorbeeld "Jouw Bank") past niet bij het echte e-mailadres erachter.
• Afwijkende Reply-To: je antwoord zou naar een heel ander adres gaan dan de afzender. Een klassieke truc om je reactie stiekem om te leiden.
• Punycode-domeinen: een webadres dat met speciale tekens is nagemaakt zodat het lijkt op een bekend merk (bijvoorbeeld een letter die op een gewone letter lijkt maar dat niet is).
• Mislukte authenticatie: SPF, DKIM of DMARC faalt, zoals hierboven uitgelegd.
• Datumverschil: de opgegeven verzenddatum wijkt sterk af van de echte ontvangsttijd.
• Ontbrekende Message-ID: legitieme mailservers geven elk bericht een uniek kenmerk. Ontbreekt dat, dan is dat ongebruikelijk.
• Verdachte TLD: het domein eindigt op een extensie die vaak bij misbruik hoort, zoals .tk, .ml of .ga.
• Tracking-pixel: een onzichtbaar piepklein plaatje dat de afzender laat weten dat je de mail opende. Mbox Viewer blokkeert externe afbeeldingen standaard, juist om dit te voorkomen.
• Link-mismatch: de tekst van een link belooft het ene adres, maar de link gaat in werkelijkheid naar een ander adres. Een van de meest voorkomende phishing-trucs.

Stap voor stap een verdacht bericht controleren

Een zaak vastleggen voor bewijs

Wil je je bevindingen bewaren, bijvoorbeeld om aangifte te doen of een collega te informeren? Selecteer dan het bericht (toets x) en exporteer een Forensisch case-bestand. Dat is een ZIP met de e-mails zelf, forensische PDF-rapporten, de hashes en een manifest. Je kunt het optioneel beveiligen met een AES-256-wachtwoord. Zo lever je een compleet en controleerbaar dossier, zonder dat er ook maar iets via internet hoefde te gaan.