Учитываемые признаки

Точная доменная строка визуально напоминает домен известного бренда.
Автор сообщает о странице или электронном письме, которые, по-видимому, имитируют бренд.
Исходное сообщение, источник, время и ближайшие ответы могут быть сохранены.
Право собственности, вредоносное поведение, влияние, роль и коммерческая значимость требуют проверки человеком.

Специалист по развитию бизнеса в компании, занимающейся защитой бренда, отслеживает группы Telegram, в которых инженеры по безопасности, группы по борьбе с мошенничеством, операторы электронной коммерции и поставщики средств анализа угроз обмениваются отчетами. Однажды утром появляются два коротких сообщения:

“Кто-нибудь видел northstar-secure.example? Ссылка на него была отправлена сегодня утром в электронном письме от службы поддержки. На странице использованы наши цвета, но я не знаю, кто ею управляет.”

“Я видел подобный скриншот где-то еще. Возможно, это та же страница, но у меня есть только изображение.”

Точный домен, ссылка на фирменную страницу и возможный второй отчет делают обсуждение достойным открытия, прежде чем оно исчезнет в другом чате безопасности. Они до сих пор не устанавливают, кому принадлежит домен, собирает ли страница что-либо, представляет ли автор затронутый бренд или нужен ли этому бренду внешний поставщик.

Аналогичной строки достаточно для создания задачи проверки. Недостаточно заявить о фишинге, краже учетных данных, жертвах или возможностях продаж.

NOTICE: Сообщения, домен, люди и компании в этой статье представляют собой составные иллюстрации. Они не представляют реального клиента, инцидент, процесс закупок, контракт, результат дохода или результат конверсии.

Ни в одном подобном домене не установлено, что произошло

Похожие домены могут заменять визуально похожие символы, добавлять дефис или добавлять такие слова, как «безопасный» или «вход». UpGuard описывает эти шаблоны и способы использования таких доменов для выдачи себя за другое лицо. MITRE ATT&CK также документирует, что злоумышленники могут приобретать домены, в том числе домены, похожие на законные, для таких операций, как фишинг.

Эти источники объясняют, почему эта закономерность заслуживает внимания. Они ничего не доказывают относительно составной области, описанной выше.

Поток Telegram поддерживает только узкий набор наблюдений:

Видно в сообщениях	Еще неизвестно
Опубликована точная строка домена	Кто зарегистрировал или контролирует это
Автор говорит, что электронное письмо выглядело как поддержка	Было ли письмо отправлено доменом и сохранились ли заголовки
Автор говорит, что на странице использованы фирменные цвета.	Скопировано ли оно реальной страницы, что оно обслуживает в данный момент и содержит ли оно поля для ввода данных.
Другой человек видел похожий скриншот	Будь то тот же URL, независимый источник или пересланная копия.
Автор сообщения использует слово «наш»	Личность, работодатель, роль и полномочия автора

Дата регистрации, записи DNS, снимок экрана или аналогичный логотип могут помочь аналитику в расследовании. Ни один из них сам по себе не доказывает злого умысла. Домен может принадлежать одобренной кампании, поставщику, реселлеру, исследователю или несвязанному владельцу регистрации. Коммерческий вопрос еще дальше: бренд может подтвердить реальный инцидент, не оценивая службу мониторинга.

Сохраните отчет перед его интерпретацией

Первое полезное действие — не открывать подозрительную ссылку в обычном браузере и не составлять питч. Сохраняется то, что появилось в авторизованной группе:

Скопируйте точный домен в виде текста: визуально похожие символы легко не заметить на скриншоте.
Сохраните исходное сообщение, исходную группу, метку времени и ближайшие ответы.
Укажите, содержит ли сообщение кликабельный URL, снимок экрана электронного письма, заголовок электронного письма или только воспоминание.
Обратите внимание, какие утверждения исходят от первоначального репортера, а какие от людей, повторяющих отчет.
Любую проверку оперативной страницы поручите авторизованному аналитику безопасности, используя утвержденный командой процесс изоляции и доказательства.

Это важно, поскольку сообщения можно редактировать, удалять или скрывать из поля зрения, а домен может изменять то, что он обслуживает. Сохранение темы не подтверждает обвинение; это удерживает команду от дальнейших споров по поводу перефразирования без источника.

Если второй скриншот взят из первого сообщения, источник все равно один, а не два. Если он содержит другую метку времени, путь URL или артефакт электронной почты, он может поддерживать более широкую проверку, но только после того, как человек сравнит основной материал.

Что должен содержать бизнес-сигнал кандидата

В группах Telegram, которые пользователь намеренно подключил и имеет право доступа, TOP Prospect может фильтровать соответствующие сообщения и организовывать их в потенциальный бизнес-сигнал. Тщательная запись будет выглядеть так:

Поле	Просматриваемый результат
Оригинальные доказательства	Сообщения и строка домена в опубликованном виде
Источник и время	Подключенная группа и временные метки сообщений
Контекст	Ближайшие ответы, которые подтверждают, повторяют или оспаривают отчет.
Обзор ИИ	«Автор сообщает о письме, похожем на сообщение поддержки, и о странице, напоминающей бренд; владелец домена, поведение страницы, влияние и роль автора остаются непроверенными»
Обоснование приоритета	Точный домен, похожий на бренд, и возможный артефакт олицетворения появляются вместе.
Межгрупповая поддержка	Количество отчетов с возможностью отдельного просмотра, обнаруженных только в подключенных авторизованных группах пользователя.
Человеческий статус	Новый кандидат; еще не проверено

Продукт может объединять или дедуплицировать совпадающие сообщения и помогать рецензенту решить, какую запись открыть первой. Он не посещает домен, не аутентифицирует автора сообщения, не определяет, кто управляет страницей, не подтверждает, что кто-то ввел учетные данные, и не связывается с членом группы.

Оценка приоритета определяет порядок проверки. Это не рейтинг серьёзности от специалиста по реагированию на инциденты и не доказательство вредоносности домена.

Проверьте инцидент, прежде чем квалифицировать покупателя

BD необходимо провести две разные проверки в указанном порядке.

Сначала уполномоченный специалист по безопасности или рискам бренда проверяет факты инцидента за пределами TOP Prospect:

Точный артефакт: Является ли текстовая строка фактическим доменом и сохранен ли указанный путь?
Право собственности: Указан ли он в одобренном каталоге домена, кампании, реселлера или поставщика бренда?
Наблюдаемое поведение: Что фактически наблюдалось в ходе утвержденного процесса расследования и когда?
Независимая поддержка: Являются ли другие отчеты действительно независимыми или они являются копиями первого сообщения?
Влияние: Сообщал ли кто-нибудь о вводе информации, получении соответствующего электронного письма или о неправомерном использовании учетной записи? «Неизвестно» — правильный ответ.

Затем БД уточняет, уместен ли коммерческий разговор:

Кто автор и связан ли он с затронутым брендом?
Работают ли они над рисками бренда, используют инструменты безопасности или просто сообщают о том, что видели?
Отслеживает ли команда уже регистрацию доменов и страницы, выдающие себя за другое лицо?
Есть ли подтвержденный пробел, в расследовании которого им нужна помощь, или они обрабатывают разовый отчет внутри компании?
Открыта ли проверка поставщиков и кто будет в ней участвовать?

Подходящим человеческим открытием может быть:

“Я видел отчет о домене в группе. Прежде чем рассматривать это как инцидент, ваша служба безопасности подтвердила, что домен находится за пределами вашего утвержденного инвентаря, и сохранила ли исходное электронное письмо или доказательство страницы?”

Продукт не отправляет это сообщение и не читает личный ответ. BD решает, является ли контакт законным, и записывает только факты, которые человек действительно подтверждает.

Пусть человеческий статус показывает работу, а не уверенность

Существующее поле статуса позволяет отслеживать проверку, не превращая обвинение в заключение:

Ожидается продолжение: команда зафиксировала ключевой недостающий факт и назначила человека для его проверки.
Продолжение: человек предпринял соответствующее действие; в статусе не сказано, что обнаружило расследование.
Недействительно: пользователь установил, что запись является дубликатом, утвержденным доменом, несвязанным артефактом или иным образом выходит за рамки правила.
Подтвержденные подробности инцидента или внешние бизнес-результаты, если они записаны где-либо еще, должны исходить от людей или авторитетных систем, не связанных с продуктом.

Никакой статус не подтверждает кражу учётных данных. Ни один статус не доказывает вред для клиента. Ни один статус не означает, что затронутый бренд ищет поставщика.

Если повторные проверки показывают, что страницы реселлеров создают шум, команда может вручную обновить исключения или приоритеты источников. Не следует описывать продукт как автоматически распознающий, что каждый новый домен является вредоносным или что изменение статуса подтверждает модель покупки.

Вернитесь в домен во вступительном сообщении

Начальная ветка заслуживает немедленного внимания, поскольку она содержит точный домен, похожий на бренд, и сообщение об электронном письме с просьбой о поддержке. Он остается кандидатом с несколькими жесткими ограничениями:

Поведение страницы и право собственности на домен не проверены.
Эти два сообщения не могут быть независимыми доказательствами.
Сбор учетных данных, количество жертв или влияние на бизнес не установлены.
Роль репортера и необходимость привлечения внешнего поставщика неизвестны.

Полезный результат – это не заявление о драматическом инциденте. Это исходная запись, которая позволяет нужному человеку задать следующий безопасный вопрос, пока исходный контекст все еще доступен.

Сначала сохраните домен и его источник. Подтвердите инцидент вторым. Квалифицировать коммерческую необходимость можно только после того и другого.

Дальнейшее чтение

Источники и дополнительное чтение

ГРАНИЦЫ ПРОДУКТА

Обсуждения рынка и риска — это вспомогательные данные

Основная задача Top Prospect — поиск потенциальных клиентов в Telegram. Обсуждения рынка и риска могут дополнить контекст кандидата, но не становятся автоматически подтверждённым инцидентом, трендом или возможностью продажи.

Посмотреть процесс и границы продукта

Кто-то опубликовал похожий домен. Что следует проверить в первую очередь компании Brand-Protection BD?