Es ist wahrscheinlich, dass der from-Header gefälscht wurde. Ich bekomme ziemlich oft E-Mails von gefälschten .govs, meistens landen sie in meinem Spamfilter. Der darin enthaltene Hyperlink ist entweder eindeutig und ermöglicht die Nachverfolgung oder liefert nur Malware. Meistens ignoriere ich diese einfach.

Wenn Sie glauben, dass der Header nicht gefälscht ist, können Sie sich in der Regel an die Agentur wenden, indem Sie deren Namen und Webmaster googeln oder uns oder andere solche Dinge kontaktieren. Verwenden Sie die Phishing-E-Mail nicht, sie ist mit ziemlicher Sicherheit gefälscht.

Sie sollten auf Phishing von .gov-Adressen genauso reagieren wie auf jede andere Art von Phishing - Sie tun dies nicht.

Antworten Sie nicht auf die E-Mail, klicken Sie nicht Links, öffnen Sie keine Anhänge, tun Sie nichts, was in der E-Mail von Ihnen verlangt wird.

Wenn Sie wirklich großzügig sein möchten, überprüfen Sie die WHOIS-Einträge auf die Domain, von der die Nachricht stammen soll . Das kann Informationen darüber enthalten, wohin Missbrauchsberichte gesendet werden sollen. Sie können auch auf der Homepage der Regierungsbehörde nach einer technischen Kontaktadresse suchen.

Wenn diese nicht helfen und es Ihnen nichts ausmacht, im Dunkeln zu fotografieren, können Sie eine Nachricht an senden Missbrauch von @ oder Spam @ in der Domain, von der die E-Mail angeblich stammt. Dies sind gängige Konten, die von Incident-Response-Teams in vielen Organisationen genau für diesen Zweck verwendet werden.

Wenn Sie einen Ansprechpartner finden, denken Sie daran, die Nachricht als Anhang weiterzuleiten - nicht nur inline. Auf diese Weise kann das Antwortteam die Nachrichtenkopfzeilen anzeigen und zusätzliche Metadaten erfassen, die sonst nicht verfügbar wären.

Seien Sie jedoch vorsichtig, was Sie behaupten. Wie andere bereits erwähnt haben, ist es sehr wahrscheinlich, dass die Nachricht nicht einmal von der Domain stammt, in der Sie glauben, dass sie es getan hat. Geben Sie einfach an, dass Sie die verdächtige E-Mail erhalten haben, und es scheint, dass sie von ihrer Domain stammt. Lassen Sie sie herausfinden, ob dies tatsächlich der Fall ist und auf welcher Ebene (falls vorhanden) ihre Konten / Systeme tatsächlich gefährdet sind.

Ich möchte die beteiligten Agenturen darüber informieren, dass sie Konten kompromittiert haben.

Dies ist wahrscheinlich nicht der Fall.

Unverschlüsselte, nicht signierte E-Mails sind kein sicheres System. Es basiert auf Daten, die der Mail-Client bereitstellt. Diese Daten werden als korrekt angenommen. Dieses Design ermöglicht es einem Angreifer, die Header-Daten (in diesem Fall den From -Header) zu fälschen, und der E-Mail-Client des Empfängers geht davon aus, dass die Daten maßgeblich sind.

Daher sind sie geringer Wahrscheinlich haben die Agenturen Konten kompromittiert, und es ist wahrscheinlicher, dass die Person, die diese Phishing-E-Mails gesendet hat, den Header From auf eine E-Mail-Adresse der Regierung gesetzt hat und gehofft hat, der Empfänger sei leichtgläubig genug, um es zu glauben.

Während der From: -Header in einer E-Mail gefälscht werden kann, landen gefälschte Header in Abhängigkeit von den Sicherheitseinstellungen Ihres eigenen Mail-Clients normalerweise in Ihrem Junk-E-Mail-Ordner oder werden überhaupt nicht empfangen.

Abhängig von Ihrem eigenen Mailserver können Sie auch überprüfen, von welchem ​​Server die E-Mail stammt. Die SPF-Validierung vergleicht dies mit den Domäneneinträgen. Wenn keine Übereinstimmung gefunden wird, landet sie im Junk-Ordner.

Regierungsorganisationen würden wahrscheinlich auch die DKIM-Validierung für ihren E-Mail-Server verwenden (obwohl) Es ist äußerst unwahrscheinlich, dass es sich um S / MIME oder PGP handelt.) Wenn die E-Mail einen gültigen DKIM-Header enthält, stammt dieser fast definitiv vom richtigen Mailserver, was bedeutet, dass der Spam-E-Mailer die ursprünglichen Benutzeranmeldeinformationen irgendwie erhalten hat, aber immer noch hätte das Konto kompromittieren können, ohne in den Computer des Opfers zu gelangen.

Abhängig von der Schwere des Angriffs würde das Sicherheitspersonal der Organisation meines Erachtens gerne von dem Verstoß erfahren, aber nur, wenn es tatsächlich einen gab . Wie andere gesagt haben, könnte es sich nur um einen gefälschten Header handeln, aber es gibt Möglichkeiten, wie Sie diese Dinge überprüfen können, abhängig von der Einrichtung der Ursprungsserver.

Wenn Sie ein E-Mail-Kreuzfahrer sein möchten, speichern Sie die E-Mail, leiten Sie sie an die Agenturadresse und die Hauptadresse weiter und lassen Sie sie hinter dem Phisher her. Mit der E-Mail gibt es genügend Informationen, um herauszufinden, woher sie gesendet wurde, und sie können diesen Dienst beenden, wenn sie die Kontrolle darüber haben. Wenn nicht, können sie sich beim Herkunftsland beschweren und prüfen, ob sie Gesetze zur Unterstützung haben.