رأس البريد الذي يرسل ردك مباشرة إلى لص

إليك عملية احتيال تكلّف الشركات الأمريكية أموالاً أكثر من برامج الفدية والبرامج الضارة والانتهاكات الأمنية مجتمعة، وعادة لا تتضمن أي برنامج ضار على الإطلاق. لا رابط خبيث. لا ملحق مصاب. لا شيء لبرنامج مكافحة الفيروسات ليقبضه. فقط بريد إلكتروني يبدو أنه جاء من مدير الشؤون المالية لديك، ورد يذهب بهدوء إلى مكان آخر.

هذا المكان الآخر هو الحيلة. وهو موجود في حقل رأس أسلوب لا يعرضه عليك أي برنامج بريد إلكتروني تقريباً.

الحقل يسمى Reply-To. كان جزءاً من معيار الإنترنت منذ البداية — RFC 5322 يعرّفه بأنه العنوان حيث يجب أن تذهب الردود، منفصلة عن عنوان From. في الاستخدام الشرعي، فهو مملّ وسهل التعامل معه. تُرسِل رسالة إخبارية من noreply@company.com لكنها تضبط Reply-To على support@company.com حتى تصل أسئلتك إلى شخص حقيقي. هذا كل شيء. هذه هي المهمة الصادقة.

الاختراق البريدي للشركات يحول هذا التيسير إلى سلاح. بدلاً من العمل التقني الشاق المتمثل في تزييف عنوان From — الذي يثير نذر الإنذار لـ SPF و DKIM و DMARC ويتم وضع علامة عليه — يسجل المهاجم فقط نطاقاً مشابهاً أو بريداً إلكترونياً عابراً على Gmail. ثم يضبط اسم العرض على "Karen Vasquez, CFO" حتى يعرض صندوق وارداتك اسم إنسان مألوف بخط عريض. قد يكون العنوان الفعلي من karen.vasquez.finance@gmail.com، لكنك لا ترى ذلك؛ أنت ترى "Karen Vasquez". والأهم من ذلك، أنهم يضبطون Reply-To على عنوان يسيطرون عليه.

فتقرأ البريد الإلكتروني. إنه قصير، معقول، عاجل قليلاً. "هل أنت على مكتبك؟ أحتاج منك معالجة تحويل مالي قبل إغلاق البنك". تضغط على الرد. برنامجك البريدي، كونه مفيداً، يوجه ردك إلى Reply-To — وليس إلى From. أنت الآن تتحدث مع المهاجم، وكل رسالة تُرسلها تؤكد أنك وقعت في الفخ.

حجم هذه المشكلة ليس خطأ تقريبي. سجّلت الوحدة الخاصة بمركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي (FBI) خسائر BEC بقيمة $2.9 billion في عام 2023 وحده، عبر أكثر من 21,000 شكوى. هذا هو الرقم المبلغ عنه، من أشخاص لاحظوا وقدموا شكاوى. الرقم الفعلي أكبر، لأن التحويل المالي الذي يُمسح يبدو أنه يوم ثلاثاء عادي حتى المطابقة.

ما يجعل هذا محبطاً هو أن الدفاع موجود هناك وفقط مخفي. كل برنامج بريد يعرف قيمة Reply-To. لا يكاد أي منها يعرضها. يطوي Gmail المُرسِل في اسم عرض وقبطة صغيرة عليك أن تنقر عليها. يدفن Outlook العناوين الفعلية تحت "View source" أو محاورة الخصائص التي لم يفتحها معظم الناس قط. الحقل الوحيد الذي يفضح المكيدة هو الحقل الوحيد الذي تتعامل معه الواجهة كفوضى.

لذا مارس هذه العادة. قبل أن تردّ على أي شيء يتعلق بالمال أو تفاصيل العمليات المصرفية المتغيّرة أو الاستعجالية، وسّع الرأس. في Gmail، انقر على السهم الموجود بجانب اسم المُرسِل واقرأ السطر الفعلي "reply-to". إذا قال From شيئاً ما و Reply-To يشير إلى صندوق بريد مختلف، توقف. هذا عدم التطابق نادراً ما يكون بريئاً في بريد مالي.

والأفضل من ذلك، لا ترد على الإطلاق. ابدأ رسالة جديدة إلى العنوان الذي لديك بالفعل محفوظ لذلك الشخص، أو خذ الهاتف واتصل برقم لم تحصل عليه من البريد الإلكتروني. يعتمد المهاجمون على بقاؤك داخل السلسلة التي بنوها.

الأناقة القاتمة لهذه العملية هي أنها تمر على كل فحص مؤتمت دون كسر أي قاعدة. العنوان From صحيح من الناحية الفنية. المجال يتم التحقق منه بشكل جيد. لا شيء مزيف. الكذب ليس في البنية التحتية — إنه في السطر الوحيد الذي قررت فيه برامجك أنك لا تحتاج إلى رؤيته.