Lähettäjän ja otsikkotietojen lukeminen

Moduuli 3: Tietojenkalastelun tunnistaminen · Lukuaika: 13 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat arvioida sähköpostin lähettäjää näyttönimen, From-osoitteen, Reply-To:n, Return-Pathin, Received-rivien sekä SPF-, DKIM- ja DMARC-tulosten perusteella Authentication-Results-kentässä.
Keskeiset käsitteet: näyttönimi, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC-tulos, kohdistus (alignment)

Mitä näet ja mitä siellä oikeasti lukee

Sähköpostiohjelma näyttää yleensä vain pienen osan lähettäjästä: nimen, joskus osoitteen. Sen takana on joukko teknisiä rivejä, joita et näe suoraan: otsikkotiedot (headers). Niissä kerrotaan, kuka lähettäjä väittää olevansa, mihin vastaukset halutaan, minkä palvelimien kautta viesti on kulkenut ja mitä sähköpostipalvelimesi on tarkistanut.

Sinun ei tarvitse olla tekniikan asiantuntija lukeaksesi niitä. Tarvitset kuusi asiaa:

Kolme ensimmäistä lähettäjä voi kirjoittaa miten haluaa. Vasta kolme viimeistä sisältää varsinaista tarkistusta.

Näyttönimi ei kerro mitään

Näyttönimi on pelkkää tekstiä. Kuka tahansa voi käyttää nimenä vaikka "Mijnbank Asiakaspalvelu" tai toimitusjohtajasi nimeä. Monet sähköpostiohjelmat, varsinkin puhelimessa, näyttävät vain tämän nimen. Tunnettu temppu on osoite nimen sisällä:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Näet tekstin info@mijnbank.example, mutta todellinen osoite on kulmasulkeiden sisällä. Napauta tai klikkaa siis aina nimeä nähdäksesi koko osoitteen.

Myös itse From-osoite voidaan väärentää: sähköpostiprotokollan mukaan palvelin saa ilmoittaa minkä tahansa From-osoitteen. Onnistuuko se joutumatta roskapostikansioon, riippuu jäljitellyn verkkotunnuksen SPF-, DKIM- ja DMARC-asetuksista. Tästä kertoo loppu tästä oppitunnista.

Reply-To: vastaus menee jollekulle muulle

Reply-To:lla viesti sanoo: "älä vastaa minulle, vaan tähän osoitteeseen". Uutiskirjeet ja verkkolomakkeet käyttävät tätä normaalisti. Huijarit käyttävät sitä kaapatakseen keskustelun. Viesti tulee aidolta tai aidolta näyttävältä osoitteelta, mutta vastauksesi, pyydettyine tietoineen tai maksuvahvistuksineen, menee hyökkääjälle.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Tarkista aina rahan tai tietojen pyynnön yhteydessä osoite vastausikkunassa, ennen kuin painat Lähetä.

Return-Path, Received ja reitti

Return-Path on osoite, johon virheilmoitukset menevät. Sitä kutsutaan myös envelope-lähettäjäksi: osoite kirjekuoren ulkopuolella, kun taas From on itse kirjeessä. Tätä verkkotunnusta SPF tarkistaa. Uutiskirjeissä ja kirjanpito-ohjelmasta lähetetyissä laskuissa Return-Path on usein lähetyspalvelun verkkotunnus. Se on normaalia.

Jokainen viestin välittävä palvelin lisää oman Received-rivinsä päällimmäiseksi. Luet ne siis alhaalta ylöspäin: alin on reitin alku, ylin viimeinen asema (oma sähköpostipalvelimesi). Huomaa: vain ylimpiin riveihin, jotka oma palveluntarjoajasi on lisännyt, voit luottaa. Niiden alapuolella lähettäjä voi lähettää keksittyjä rivejä mukana.

Authentication-Results: tarkistuksen tulos

Oma sähköpostipalvelimesi tarkistaa viestin saapuessa kolme asiaa (lisää tietoa moduulissa 4 ja DNS-kurssilla):

• SPF: saiko tämä palvelin lähettää postia Return-Pathissa mainitun verkkotunnuksen puolesta?
• DKIM: täsmääkö digitaalinen allekirjoitus, ja minkä verkkotunnuksen se on (d= tai header.d=)?
• DMARC: kuuluuko ainakin toinen näistä onnistuneista tarkistuksista From-kentän verkkotunnukseen? Tätä kutsutaan kohdistukseksi (alignment). "Kuuluu" tarkoittaa: sama rekisteröitävissä oleva verkkotunnus (oppitunti 3.2). mail.mijnbank.example on kohdistettu verkkotunnukseen mijnbank.example (sama rekisteröitävissä oleva verkkotunnus).

Tulos näkyy kentässä Authentication-Results. Luota vain siihen riviin, jonka alussa on oman sähköpostipalvelimesi nimi; myös lähettäjä voi lähettää mukana samanlaisen rivin.

Tärkein opetus: dmarc=pass tarkoittaa ainoastaan "tämä viesti tulee todella From-kentän verkkotunnuksesta". Se ei kerro mitään siitä, onko kyseinen verkkotunnus luotettava. Hyökkääjä, jolla on oma huijausverkkotunnus, voi saada kaiken näyttämään siistiltä pass-tulokselta.

Käytännössä: näin se näyttää

Kolme jäljiteltyä otsikkotietolohkoa, lyhennetty vain olennaisiin riveihin. Vastaanottaja on Bakkerij Example; oman sähköpostipalvelimen nimi on mx1.example.com.

Esimerkki 1: aito.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

From-verkkotunnus on mijnbank.example, DKIM on allekirjoitettu verkkotunnuksella mijnbank.example ja Return-Path kuuluu samaan: molemmat kohdistettu, DMARC onnistuu. Viesti tulee todella kyseiseltä verkkotunnukselta. Mene silti vuosikatsausta varten pankin sivulle omasta kirjanmerkistäsi.

Esimerkki 2: väärennetty lähettäjä.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF onnistuu, mutta verkkotunnukselle aanvaller.example, ei From-verkkotunnukselle. Allekirjoitusta ei ole. DMARC siis epäonnistuu. Koska toimittajalla on asetuksena p=none, viesti toimitettiin silti perille. Asetuksella p=reject se olisi hylätty. Lisäksi Reply-To osoittaa toiseen verkkotunnukseen. Huijaus.

Esimerkki 3: huijausverkkotunnus, kaikki pass-tilassa.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Asiakaspalvelu <service@mijnbank-veilig.example>
Subject: Vahvista tietosi uutta maksukorttia varten

Kaikki onnistuu, koska hyökkääjä on asettanut oman verkkotunnuksensa oikein. Mutta mijnbank-veilig.example ei ole aidon pankin mijnbank.example. Huijaus.

Avaa otsikkotiedot itse. Roundcubeen perustuvassa webmailissa (kuten WebOkéssa) avaat viestin ja valitset valikosta More (kolme pistettä) kohdan Source. Muut ohjelmat kutsuvat tätä esimerkiksi nimellä "Näytä alkuperäinen" tai "Viestin lähdekoodi". Etsi tekstistä Authentication-Results. Puhelimessa tämä ei usein onnistu; katso viesti silloin webmailissa tietokoneella.

Yhteenveto

• Näyttönimen, From-kentän ja Reply-To:n kirjoittaa lähettäjä itse. Tarkista aina todellinen osoite ja Reply-To ennen kuin vastaat.
• Return-Path on envelope-osoite, jota SPF tarkistaa. Received-rivit luetaan alhaalta ylöspäin; luota vain oman palveluntarjoajasi lisäämään riviin.
• Authentication-Results kertoo SPF-, DKIM- ja DMARC-tarkistusten tuloksen. DMARC tarkistaa, onko SPF tai DKIM kohdistettu From-verkkotunnukseen.
• dmarc=fail tutulla verkkotunnuksella on vahva merkki väärennöksestä.
• dmarc=pass todistaa vain, että viesti tulee From-verkkotunnuksesta. Tarkista aina, onko kyseinen verkkotunnus aito.

Tietovisa

Tehtävä

Tehtävä A3.3: Otsikkotietojen lukeminen. Saat kolme otsikkotietolohkoa. Täytä jokaista lohkoa kohden: Return-Pathin verkkotunnus, DKIM-allekirjoituksen verkkotunnus (d=), DMARC-tulos sekä onko viesti aito vai huijaus. Ohjelma tarkistaa vastauksesi ja osoittaa virheen sattuessa rivin, josta vastaus löytyy.

Lisälukemista

WebOkén ohjeartikkeleiden vaiheet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• Mitä on DMARC? Selitys selkeällä kielellä
• Sähköpostini ei saavu perille tai päätyy roskapostiin: näin selvität asian
• Verkkotunnuksen julkinen sähköpostitarkistus (SPF, DMARC, MX): https://www.weboke.fi/sahkopostin-tarkistus, ja internet.nl:n sähköpostitesti: https://internet.nl
• DNS-kurssi, oppitunnit 4.3 SPF, 4.4 DKIM ja 4.5 DMARC: https://www.weboke.fi/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601