Sjekk avsender i Gmail og Outlook – «pass» er ikke nok

Åpne avsenderdetaljene når en e-post virker mistenkelig, og les hele adressen bak navnet i innboksen. Sammenlign domenet etter @ med virksomheten meldingen hevder å komme fra. I Gmail og Outlook kan du også åpne meldingshodet for å se avsenderadressen og resultatene av autentiseringskontrollene.

Et «spf=pass» eller «dkim=pass» er et teknisk spor, ikke en bekreftelse på at personen, lenken eller forespørselen er til å stole på. Vurder derfor adressen, autentiseringsresultatet og det meldingen ber deg gjøre samlet. Hvis avgjørelsen har betydning, bekreft forespørselen gjennom en kontaktvei du allerede kjenner.

Les adressen bak avsendernavnet

Et kjent navn i innboksen kan skjule en adresse som peker et annet sted. Åpne avsenderfeltet og les den fullstendige adressen, særlig domenet etter @. Hvis e-posten ser ut til å komme fra en bank, nettbutikk eller arbeidsgiver, sammenlign domenet med en adresse du kjenner fra tidligere kontakt eller virksomhetens nettsted, ikke med stavemåten i meldingen.

Se etter små forskjeller i domenet, ekstra ord eller en privat adresse bak et firmanavn. Det er konkrete avvik, men en adresse som ser riktig ut, beviser heller ikke at den navngitte personen skrev e-posten. Avsendernavn, adresse og innhold er forskjellige opplysninger, og ingen av dem bør alene avgjøre om du følger en oppfordring om betaling eller innlogging.

Åpne meldingsdetaljene i Gmail

Åpne meldingen på en datamaskin og klikk nedoverpilen under avsenderens navn. Gmails autentiseringsveiledning forklarer at «sendt av» viser domenet meldingen ble sendt via, mens «signert av» viser domenet som signerte den. Et spørsmålstegn ved navnet betyr at Gmail ikke har autentisert meldingen.

Disse korte detaljene er nyttige når du vil se hvilke domener Gmail knytter til meldingen. Les dem mot adressen i avsenderfeltet: Hvis meldingen utgir seg for å være fra én virksomhet, mens opplysningene viser et uventet domene, er det grunn til å stoppe opp. Det er likevel forespørselen og en uavhengig bekreftelse som avgjør om du bør handle på den.

For å se hele meldingshodet åpner du «Mer» ved siden av «Svar» og velger «Vis originalen». Googles fremgangsmåte for meldingshodet viser at opplysningene åpnes i et nytt vindu. Finn «From» og «Authentication-Results» der. Du trenger normalt ikke tolke alle linjene som beskriver hvilke e-postservere meldingen har passert.

I en konto med engelsk grensesnitt heter valget «Show original». Bruk originalvisningen hvis avsendernavnet og adressen ikke passer sammen, eller når du trenger å se hva SPF- og DKIM-kontrollene faktisk ga som resultat.

Finn «From» i Outlook

I nye Outlook og Outlook på nettet åpner du meldingen og velger «More actions», deretter «View» og «View message details». Microsofts veiledning for Outlook viser at du kan bla til «From» og lese e-postadressen mellom vinkelparentesene. Sammenlign den med navnet og adressen som først var synlig i meldingen.

I klassisk Outlook for Windows åpner du meldingen utenfor leseruten ved å dobbeltklikke. Velg «File» og «Properties»; hele hodet står i feltet «Internet headers». De ulike menyveiene leder til samme type tekniske opplysninger. Hvis du bruker norsk grensesnitt, kan menyordene være oversatt, men «From» er feltet du skal finne i selve meldingshodet.

Et uventet «From»-domene er et tydelig signal om at du bør undersøke avsenderpåstanden videre. Hvis domenet stemmer med det du forventer, fortsetter kontrollen: en avsender kan sende en melding fra sitt faktiske domene og likevel be om noe som ikke er trygt. Meldingshodet gir dermed mer presis informasjon om adressen, men ingen vurdering av formålet med e-posten.

Hva «spf=pass» og «dkim=pass» forteller

Se etter «Authentication-Results» i meldingshodet. «spf=pass» betyr at den sendende serveren var tillatt for domenet SPF kontrollerte. «dkim=pass» betyr at en digital signatur kunne verifiseres mot domenet som signerte. Resultatene sier noe om hvordan meldingen ble sendt og signert; de forteller ikke hvem som skrev den, eller om innholdet er ærlig.

Les hvilket domene kontrollen gjelder, ikke bare ordet «pass». Hvis avsendernavnet viser en kjent virksomhet, mens den tekniske kontrollen gjelder et annet domene, er en bestått kontroll ikke en bekreftelse på påstanden i avsenderfeltet. Også avsendere av søppelpost kan autentisere e-post. Derfor er det feil å bruke «pass» som et klarsignal for lenker, vedlegg eller pengekrav.

Manglende autentisering betyr på sin side ikke automatisk svindel. E-postlister kan gjøre at autentisering ikke fungerer som forventet, og videresendte meldinger kan ha en tidligere autentiseringsstatus som må tas med i vurderingen. Hvis du ser et spørsmålstegn i Gmail eller et uventet resultat i hodet, er den nyttige konklusjonen at avsenderen må bekreftes på en annen måte før du gjør det meldingen ber om.

Vurder det e-posten ber deg gjøre

Les hva e-posten faktisk vil at du skal gjøre. En oppfordring om å logge inn, betale, dele en kode eller åpne et vedlegg krever mer enn et passende avsendernavn og et teknisk «pass». Kontroller om handlingen er forventet, og se på selve måladressen før du følger en lenke; knappeteksten kan beskrive en annen destinasjon enn nettadressen bak.

Er det tvil om en konkret bestilling, betaling eller kontohendelse, gå selv til tjenestens vanlige nettsted eller kontakt virksomheten via en adresse eller et nummer du allerede har. Kontaktopplysningene i den mistenkelige e-posten er en del av meldingen du forsøker å vurdere. En bekreftelse utenfor meldingen kan avklare forespørselen også når avsenderkontrollen ser normal ut.

Les også: