Как получить заголовки письма для анализа взлома или фишинга: пошаговое руководство по почтовым клиентам

Заголовки письма — это техническая запись пути сообщения от отправителя к получателю. Они содержат адреса серверов, результаты проверок подлинности (SPF, DKIM, DMARC), временные метки и уникальные идентификаторы. При подозрении на взлом аккаунта, фишинг или компрометацию именно заголовки позволяют установить истинного отправителя, маршрут доставки и признаки подделки. Обычный текст письма и поле «От» легко подделать; заголовки — нет.

Ниже — конкретные инструкции для основных почтовых сервисов и программ. Действуйте на том устройстве и в том клиенте, где письмо получено: заголовки могут отличаться в веб-интерфейсе и в IMAP-клиенте.

Зачем нужны заголовки при расследовании

Перед тем как экспортировать, полезно понимать, какие вопросы закрывают заголовки:

• Настоящий ли отправитель? Поля Received показывают цепочку серверов. Если письмо якобы от банка, но первый сервер — неизвестный хостинг в другой стране, это признак подделки.
• Прошли ли проверки подлинности? Результаты SPF, DKIM, DMARC в заголовке Authentication-Results говорят, подтвердил ли домен отправителя свою личность.
• Есть ли аномалии в маршруте? Задержки, необычные серверы, отсутствие ожидающих хопов — основания для подозрений.
• Идентификаторы для корреляции. Message-ID, X-Originating-IP, Received-SPF позволяют администратору почтовой системы найти письмо в логах.

Специалисту безопасности или администратору почты эти данные нужны в исходном виде — скриншот или пересказ не подойдут.

Как открыть и сохранить заголовки в популярных клиентах

Gmail (веб-версия)

1. Откройте подозрительное письмо.
2. Нажмите три точки справа от кнопки «Ответить» (верхний правый угол письма).
3. Выберите «Показать оригинал» (Show original).
4. Откроется новая вкладка с полным исходным текстом. Нажмите «Скачать оригинал» (Download original) — сохранится файл .eml с заголовками и телом. Можно также скопировать текст кнопкой «Копировать в буфер обмена».

Важно: в мобильном приложении Gmail этой функции нет. Используйте браузер на телефоне (версию для ПК) или зайдите с компьютера.

Outlook в браузере (Outlook.com, Office 365, Exchange Online)

1. Откройте письмо.
2. Нажмите три точки в правом верхнем углу письма → «Просмотр» → «Просмотреть сведения о сообщении» (View message details).
3. В открывшейся панели скопируйте содержимое поля «Заголовки интернета» (Internet headers).
4. Вставьте в текстовый файл и сохраните с расширением .txt или .eml.

Outlook для Windows (классический десктопный клиент)

1. Дважды кликните по письму, чтобы открыть его в отдельном окне.
2. Вкладка «Файл» → «Свойства» (Properties).
3. Внизу окна — поле «Заголовки Интернета» (Internet headers). Выделите всё (Ctrl+A), скопируйте (Ctrl+C).
4. Вставьте в блокнот и сохраните.

В новой версии Outlook (New Outlook / Outlook для Windows 11) интерфейс ближе к веб-версии: три точки → «Просмотр исходного кода» (View source) или «Свойства сообщения».

Apple Mail (macOS)

1. Выделите письмо в списке.
2. Меню «Представление» (View) → «Сообщение» → «Все заголовки» (All Headers) — или нажмите Cmd+Shift+H.
3. Заголовки появятся над телом письма. Выделите их, скопируйте, сохраните в файл.
4. Альтернатива: «Файл» → «Сохранить как…» → формат «Необработанное сообщение» (Raw Message Source) — получится .eml.

Apple Mail (iOS / iPadOS)

На мобильной версии нет встроенного просмотра полных заголовков. Два варианта:

• Переслать письмо на другой ящик (например, на Gmail) и открыть там через веб-версию.
• Использовать ярлык (Shortcuts) с действием «Получить детали почты» — но это требует настройки. Проще: доступ к iCloud Mail через браузер на компьютере.

Mozilla Thunderbird

1. Выделите письмо.
2. Меню «Вид» → «Заголовки» → «Все» (или нажмите Ctrl+U для «Исходный код сообщения»).
3. Откроется окно с полным исходным текстом. «Файл» → «Сохранить как» → тип «Файл сообщения» (.eml).

Яндекс.Почта (веб)

1. Откройте письмо.
2. Три точки → «Свойства письма» (или «Исходный код»).
3. Скопируйте текст заголовков в файл.

Mail.ru (веб)

1. Откройте письмо.
2. Кнопка «Ещё» (три точки) → «Исходный код письма».
3. Сохраните открывшийся текст.

Другие клиенты (общий принцип)

Ищите пункты меню: «Исходный код», «Оригинал», «Заголовки», «Свойства», «View source», «Show original», «Message source». Результат сохраняйте как текстовый файл (.txt, .eml, .msg). Не делайте скриншоты — они негодны для автоматического разбора.

Что делать с полученным файлом

Передача специалисту

• Отправьте .eml или .txt как вложение — не вставляйте текст в тело нового письма, форматирование может испортить структуру.
• Если передаёте через мессенджер — архивируйте с паролем (например, 7z с AES-256) и пароль отправьте отдельным каналом. Заголовки могут содержать чувствительные метаданные (IP адреса, внутренние хосты, ID сообщений).
• Укажите контекст: когда получено, в какой папке (Входящие/Спам), какие действия предпринимали (кликали ли по ссылкам, вводили ли пароли).

Самостоятельный быстрый взгляд (если спецпомощь не доступна сразу)

Можно вставить заголовки в онлайн-анализаторы (MXToolbox Message Header Analyzer, Google Admin Toolbox Messageheader, WhatIsMyIP Header Analyzer). Они разберут цепочку Received в хронологическом порядке и подсветят результаты SPF/DKIM/DMARC. Не загружайте туда письма с конфиденциальным содержимым — используйте только заголовки, предварительно удалив тело письма после строки Content-Type или границы MIME.

Ключевые поля заголовков: на что смотреть в первую очередь

Поле	Что показывает	На что обратить внимание
Received (цепочка)	Маршрут письма: каждый сервер добавляет свою запись сверху вниз. Читать снизу вверх — от отправителя к получателю.	Несовпадение доменов в HELO/EHLO и IP, неожиданные страны, серверы хостингов/VPN/TOR, большие задержки между хопами.
Authentication-Results	Результаты проверок SPF, DKIM, DMARC со стороны принимающего сервера.	spf=pass, dkim=pass, dmarc=pass — хорошо. fail, , none — повод для беспокойства, особенно в комбинации.
From / Return-Path / Sender	Отображаемый отправитель, адрес для ответов на ошибки доставки, технический отправитель.	Разные домены в From и Return-Path — часто признак рассылки или подделки. В фишинге From может быть легитимным, а Return-Path — левым.
Message-ID	Уникальный идентификатор письма.	Позволяет администратору найти письмо в логах за секунды. Формат: .
X-Originating-IP, X-Sender-IP	IP клиента, сданного письмо на первый сервер (не всегда присутствует).	Если есть — геолокация IP может противоречить заявленному отправителю.
DKIM-Signature	Криптографическая подпись домена.	Поле d= — домен, подписавший письмо. Должен совпадать или быть поддоменом From. bh= — хеш тела, позволяет проверить целостность.
ARC-Authentication-Results, ARC-Seal	Результаты проверок на промежуточных серверах (пересылка, списки рассылки).	Помогают понять, где сломалась аутентификация при пересылке.

Типичные ошибки при сборе заголовков

• Скриншот вместо файла. Текст неразборчив, нельзя скормить парсеру, теряются непечатные символы.
• Копирование только видимых полей. В веб-интерфейсах часто показывают не все заголовки. Нужен «Оригинал» / «Исходный код» / «Все заголовки».
• Пересылка письма как вложение (forward as attachment) вместо экспорта. При пересылке добавляются новые заголовки Received, исходные могут быть урезаны или преобразованы. Лучше — «Сохранить как .eml» / «Показать оригинал».
• Редактирование файла перед отправкой. Любое изменение (даже удаление тела письма вручную) делает файл негодным для верификации DKIM. Передавайте как есть.
• Сбор заголовков не с того аккаунта/устройства. Если письмо читали на телефоне в приложении, а экспортируете с веб-почты — заголовки могут отличаться (разные шлюзы, разные антивирусные проверки). Экспортируйте там, где письмо впервые открыто для анализа.

Сценарии: как действовать в типичных ситуациях

Подозрение на фишинг (получили подозрительное письмо)

1. Не кликайте по ссылкам, не открывайте вложения до проверки.
2. Экспортируйте заголовки по инструкции выше.
3. Проверьте Authentication-Results: если SPF/DKIM/DMARC — fail или none при явном бренде в From — почти наверняка фишинг.
4. Посмотрите первый (нижний) Received: IP и хост должны соответствовать заявленному отправителю.
5. Передайте заголовки ИБ-отделу или в службу поддержки имитируемого сервиса.
6. Удалите письмо из «Входящих» и «Удалённых».

Подозрение на взлом собственного аккаунта (видите исходящие письма, которых не отправляли)

1. Сразу смените пароль, включите 2FA, проверьте активные сессии (в настройках безопасности почты).
2. Экспортируйте заголовки подозрительных исходящих писем из папки «Отправленные» (Sent).
3. Проверьте X-Originating-IP и первый Received — они покажут, откуда реально ушло письмо.
4. Если IP не ваш — аккаунт скомпрометирован. Проверьте правила переадресации, делегированный доступ, приложения с доступом к почте.
5. Передайте заголовки администратору корпоративной почты или в поддержку провайдера.

Нужно доказать доставку/недоставку письма (спор с контрагентом, юриспруденция)

1. Соберите заголовки у получателя (если письмо дошло) — там будет полная цепочка Received с таймстемпами.
2. У отправителя оставьте логи SMTP-сервера (обычно доступны только администратору почты).
3. Message-ID свяжет обе стороны. Без заголовков получателя доказать факт доставки сложно.

Ограничения того, что дают заголовки

• Заголовки не показывают содержимое зашифрованных писем (PGP, S/MIME) — только метаданные конверта.
• Если письмо прошло через пересылатор (forwarder), список рассылки или корпоративный шлюз с перезаписью заголовков, исходная цепочка может быть обрезана или изменена. ARC-заголовки частично решают это, но не везде внедрены.
• Заголовки не идентифицируют физическое лицо за клавиатурой — только IP и серверы.
• В корпоративных системах (Exchange, G Suite) внутренние заголовки могут не попасть в «Оригинал» для внешнего получателя. Для полного расследования нужны логи сервера.

Практический чек-лист перед передачей заголовков

• Файл сохранён как .eml или чистый текст .txt без редактирования.
• Тело письма оставлено нетронутым (для проверки DKIM-хеша).
• Указано: дата/время получения (по часовому поясу получателя), папка, почтовый клиент, от чьего имени анализ.
• Если есть вложения в исходном письме — они внутри .eml. Предупредите получателя, если вложения подозрительны.
• Передача через защищённый канал (зашифрованный архив, корпоративный мессенджер, защищённый портал).

Что сделать дальше

Если вы собрали заголовки и передали их специалисту — ваша задача выполнена. Дальнейшие шаги зависят от заключения:

• Фишинг подтверждён: смените пароли там, где могли ввести их по ссылке; проверьте банковские выписки; сообщите в антифишинговые базы (например, через форму Google Safe Browsing или PhishTank).
• Взлом аккаунта: полный аудит безопасности — пароли, 2FA, сессии, правила почты, авторизованные приложения, проверка на вредоносное ПО на устройствах.
• Спойфинг без взлома: ваш адрес использовали в From без доступа к аккаунту. Настройте/проверьте SPF, DKIM, DMARC на своём домене (если это ваш домен). Если чужой — сообщите администратору того домена.
• Ложная тревога: письмо легитимно, заголовки чистые. Вернитесь к обычной работе, но сохраните навык экспорта — пригодится.

Часто задаваемые вопросы

• Можно ли получить заголовки письма, которое уже удалили из «Удалённых»?
• Только если у вас есть бэкап почтового клиента (файл .pst, .mbox, локальная копия Thunderbird) или администратор сервера может достать из логов/журналов за последние дни. В веб-интерфейсе после очистки корзины — обычно нет.
• Заголовки в «Отправленных» и у получателя совпадают?
• Нет. У отправителя — только до передачи на исходящий SMTP-сервер. У получателя — полная цепочка включая все промежуточные серверы. Для расследования доставки важны заголовки получателя.
• Почему в заголовках нет поля X-Originating-IP?
• Не все серверы его добавляют. Большие провайдеры (Google, Microsoft, Яндекс) часто скрывают клиентский IP в заголовках исходящей почты для приватности. Его отсутствие — не признак проблемы.
• Что такое Received-SPF: softfail?
• Домен отправителя разрешает отправку с этого IP, но не рекомендует (механизм ~all в SPF-записи). Это слабее, чем fail (-all), но всё равно сигнал: письмо может быть не от владельца домена.
• Можно ли подделать заголовки Received?
• Подделать последнюю запись (добавленную вашим сервером) нельзя — её ставит ваш MX. Подделать более ранние — можно, если контролируете промежуточный сервер. Поэтому цепочку читают снизу вверх и доверяют только тем хопам, которые прошли через проверенные серверы.

Материал носит информационный характер и не заменяет профессионального инцидент-респонса. При подтверждённом взломе корпоративной почты, утечке данных или финансовом мошенничестве обратитесь к специалистам по информационной безопасности и, при необходимости, в правоохранительные органы. Действуйте согласно политике безопасности вашей организации.

Умение быстро получить правильные заголовки — базовый навык цифровой гигиены. Сохраните эту инструкцию в закладках: при инциденте времени на поиск меню не будет.