A linha "From" visível de um e-mail é trivialmente forjável. A verdade está no cabeçalho de e-mail — os metadados ocultos que registram os servidores por onde a mensagem passou e as checagens de autenticação que ela passou ou falhou. Lê-lo indica de onde a mensagem realmente veio e se deve merecer confiança.
O que você vai precisar
- O cabeçalho completo e bruto do e-mail (a opção "mostrar original" ou "ver código-fonte" do seu cliente)
- Uma ferramenta de análise de cabeçalho da categoria Números de telefone e e-mails
- Consultas de IP e domínio da categoria Nomes de domínio e nomes de usuário
Passos
- Extraia o cabeçalho bruto. Abra o código-fonte original da mensagem para ver todos os campos, não apenas o resumo amigável que seu cliente exibe.
- Leia a cadeia Received de baixo para cima. A linha "Received" mais baixa costuma ser a origem; cada linha acima é o salto seguinte. Suba por ela para achar o primeiro servidor remetente e seu endereço IP.
- Confira os resultados de autenticação. Observe SPF, DKIM e DMARC. Falhas — ou um domínio no "From" que não corresponde ao servidor remetente — são fortes sinais de falsificação.
- Geolocalize e atribua o IP de origem. Consulte o IP de origem quanto a dono e localização aproximada; cruze com os registros WHOIS do domínio remetente.
- Correlacione com o conteúdo. Pese a origem técnica contra as alegações, links e anexos da mensagem para julgar se é legítima, falsificada ou phishing.
Erros comuns
- Confiar no nome de exibição. Ele não tem autoridade alguma; só a cadeia de cabeçalhos e os resultados de autenticação têm.
- Ler a ordem de Received ao contrário. Leia de baixo para cima — invertendo, você aponta para o seu próprio servidor de e-mail, não para o remetente.
- Esquecer relés e serviços. Listas de discussão e plataformas de marketing acrescentam saltos legítimos que podem parecer suspeitos se mal interpretados.
Verifique seu resultado
Você rastreou o e-mail quando consegue nomear o servidor e o IP de origem, dizer se SPF/DKIM/DMARC passaram e explicar se o endereço no "From" é genuíno ou forjado.