Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

Někdo rozesílá phishing naším jménem

Co dělat, když se útočník vydává za naši firmu?

Krátká odpověď

Nejdřív zjistěte, co přesně zneužívá. Jsou tři možnosti a každá se řeší jinak: vaši doménu v adrese odesílatele, podobnou doménu s překlepem, nebo jen vaše jméno v textu zprávy. Technicky zavřít umíte jen první případ — vynucenou politikou DMARC. U zbylých dvou je vaší prací rychlé hlášení a informování zákazníků. Co z toho se děje, zjistíte z hlaviček jedné doručené zprávy.

Co se vlastně děje

Případy, které se dají splést, a jak se liší.

Případ první: v adrese odesílatele je vaše doména. Tady máte páku. DMARC s politikou reject dává přijímajícím serverům pokyn takovou zprávu odmítnout, a většina velkých poskytovatelů schránek se jím řídí.

Případ druhý: doména je jiná, jen podobná — překlep, pomlčka, jiná koncovka. Vaše DNS s ní neudělá nic, protože nad ní nemáte kontrolu.

Případ třetí: doména je úplně cizí a vaše jméno je jen v textu a v podpisu. Technicky neřešitelné; řeší se komunikací.

Žádné nastavení nezastaví všechny podvodné zprávy. Vynucený DMARC zavře tu cestu, která je pro útočníka nejlevnější a nejvěrohodnější — a to je podstatný rozdíl.

Jak zjistíte, o co jde

Projděte to v tomto pořadí, než začnete něco měnit.

  1. 01Získejte kopii zprávy tak, aby se neztratily hlavičky: od zákazníka si ji nechte přeposlat jako přílohu, ne vložením do těla.
  2. 02Přečtěte doménu za zavináčem v adrese odesílatele, znak po znaku. Rozdíl bývá jediná litera nebo koncovka.
  3. 03Je-li doména vaše, podívejte se do hlavičky Authentication-Results na výsledky spf a dmarc. Výsledek „pass“ u vaší domény znamená, že zpráva prošla přes povoleného odesílatele — to je jiná situace a hledá se u odesílatelů, které máte v SPF.
  4. 04Poznamenejte si datum, čas a cílovou adresu v odkazu. To je materiál pro hlášení i pro zákazníky.
  5. 05Zkontrolujte, kolik svých domén firma drží. Útočník si vybere tu, která nemá ochranu, ne tu hlavní.

Jak to Tegmia měří

Co přesně kontrola dělá — a co z této situace nezměří.

  • Čteme SPF, DMARC, MX a CAA záznamy domény jedním kolem DNS dotazů.
  • Hlásíme chybějící DMARC (vysoká závažnost) a DMARC v režimu monitorování (střední), protože obojí znamená, že podvrženou zprávu nikdo neodmítne.
  • Hlásíme chybějící SPF i SPF končící mírným pravidlem; vyhodnocení DMARC se o výsledek SPF opírá.
  • Nalezené záznamy jsou u každého zjištění v důkazu, takže je vidět, co jsme naměřili, ne jen verdikt.

Co tím nezměříme

  • Nehledáme domény podobné té vaší a neprohlížíme registrace nových domén. Kdo si koupil doménu s překlepem, od nás nezjistíte.
  • Nemonitorujeme rozesílky ani podvodné stránky. Nejsme služba dohledu a netvrdíme to.
  • DKIM zvenčí neměříme, protože neznáme selektor.

Pravidla, která se k tomu váží

Přímo z katalogu zjištění. Stejný text uvidíte i v hlášení.

Doména nemá DMARC záznam

Vysoké

dns.dmarc_missing · DNS a ochrana e-mailu

DMARC říká přijímajícím serverům, co udělat s podvrženým e-mailem, a posílá vám přehled o tom, kdo se za vás vydává. Bez něj nemáte ani ochranu, ani zprávu o zneužití.

Co udělat: Přidejte TXT záznam na _dmarc.vasedomena.cz. Začněte na v=DMARC1; p=none; rua=mailto:..., vyhodnoťte reporty a postupně zpřísněte na p=quarantine a p=reject.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

DMARC je jen v režimu monitorování (p=none)

Střední

dns.dmarc_policy_none · DNS a ochrana e-mailu

Režim none sbírá data, ale podvržený e-mail nezastaví. Pro skutečnou ochranu je potřeba dojít na quarantine nebo reject.

Co udělat: Vyhodnoťte DMARC reporty, doplňte chybějící legitimní odesílatele do SPF a DKIM a pak zpřísněte politiku.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Doména nemá SPF záznam

Vysoké

dns.spf_missing · DNS a ochrana e-mailu

Bez SPF si kdokoli může poslat e-mail z vaší adresy. To je nejčastější způsob, jak útočník navede účetní na falešnou fakturu.

Co udělat: Přidejte do DNS TXT záznam SPF, který vyjmenuje vaše odesílací servery, a ukončete ho -all. Pokud z domény e-maily neposíláte vůbec, použijte v=spf1 -all.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

SPF nekončí striktním pravidlem -all

Střední

dns.spf_permissive_all · DNS a ochrana e-mailu

Mírné pravidlo znamená, že podvržený e-mail projde, jen se označí. Ochrana tím ztrácí většinu účinku.

Co udělat: Po kontrole, že máte v SPF všechny legitimní odesílatele (včetně rozesílek a CRM), přepněte na -all.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Typická chybná konfigurace

Hlavní doména bývá ošetřená, ale firma drží další tři: starší jméno, variantu s pomlčkou, doménu kampaně. Ty jsou bez SPF a bez DMARC, protože se z nich neposílá — a právě proto jsou pro útočníka pohodlné. Jméno zákazník zná a nic mu v posílání nebrání.

Druhý stav: DMARC existuje, ale v režimu monitorování. Firma v dobré víře říká „DMARC máme“, přitom žádnou zprávu nikdo neodmítne.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

  1. 01Uložte si kopii zprávy s hlavičkami a zapište datum a čas. Bez toho se nedá nic nahlásit ani doložit.
  2. 02Je-li zneužita vaše doména: dotáhněte SPF a DKIM u všech odesílatelů a DMARC posuňte na quarantine a potom na reject. To je ta část, kterou skutečně ovládáte.
  3. 03Informujte zákazníky vlastním kanálem — krátce, konkrétně, bez strašení: co přišlo, jak to poznají, co po nich nikdy nechceme. Odkazujte na adresu, kterou si můžou ověřit, ne na odkaz v e-mailu.
  4. 04Nahlaste podvodnou stránku poskytovateli hostingu a registrátorovi domény; kontakt na držitele .cz domény je dohledatelný ve veřejném whois.
  5. 05U závažnějších případů zvažte hlášení národnímu CSIRT týmu a Policii ČR. Poznamenejte si, komu a kdy jste hlásili.
  6. 06Projděte všechny domény, které firma drží, a nepoužívané ošetřete „v=spf1 -all“ a DMARC s politikou reject.

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže, co z této situace platí u vás. Výsledek dostanete s důkazem, ze kterého jsme vycházeli.

Zkontrolovat doménuCo všechno kontrolujeme

Související kontroly

  • Kontrola DMARC záznamu

    Co DMARC dělá, co znamená p=none, quarantine a reject, a jak se k vynucené politice dostat bez ztráty pošty.

  • Kontrola SPF záznamu

    Co je SPF záznam, jak ho Tegmia čte, jaká je nejčastější česká chyba v nastavení a jak záznam opravit.

  • Kontrola MX záznamu

    MX záznam určuje, kam se doručuje pošta. Co znamená, když chybí, a jak chránit doménu, která e-maily neposílá.

Naposledy upraveno 22. října 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.