فاتورة مزيفة اجتازت كل اختبار بريد عشوائي

بائع دفعت له عشرات المرات يرسل لك فاتورة جديدة. نفس الشعار، نفس مدير الحساب، نفس التوقيع المهذب. الفرق الوحيد هو سطر واحد مدفون في رأس البريد — وهذا السطر أعاد توجيه دفعتك البالغة 48,000 دولار إلى غريب في بلد آخر.

هذا هو جزء احتيال الصندوق الوارد الذي لا يحذرك أحد منه: الفواتير الخطيرة ليست هي الفوضوية. إنها الفواتير النظيفة. المحتال الذي يخترق حساب بريد حقيقي لشركة ما لا يحتاج إلى تزوير أي شيء. البريد يخرج من النطاق الأصلي، موقّع بمفاتيح أصلية. SPF يمرّ. DKIM يمرّ. DMARC يمرّ. مرشح البريد العشوائي يهز كتفيه ويسمح به بالمرور، لأنه من ناحية الحسابات، هذا بريد شرعي. هو كذلك. فقط يتم إرساله من قِبل إنسان خاطئ.

لهذا السبب فإن اختراق بريد الأعمال هو أغلى عملية احتيال على الإطلاق، وليس هناك منافسة. سجل مركز الشكاوى المتعلقة بجرائم الإنترنت التابع لـ FBI خسائر BEC بحوالي 2.9 مليار دولار في عام 2023 وحده — تحويلات سلكية غادرت بقوة بريد يبدو، بكل مقياس آلي، شرعياً تماماً. لا برامج ضارة. لا رابط مريب. فقط طلب معقول لتحديث تفاصيل الدفع، مرسل من صندوق وارد تم اختراقه بهدوء.

فإذا لم تنقذك درجة البريد العشوائي، فما الذي سينقذك؟

سطرا رأس يمكنك قراءتهما في أقل من دقيقة: Reply-To و Return-Path.

إليك الفرق، بعبارات واضحة. عنوان From هو ما تراه على مقدمة الظرف. Return-Path هو المكان الذي تذهب إليه رسائل الارتجاع إذا فشل التسليم — "المرسل" التقني الذي يهتم به خادم الاستقبال فعلياً. و Reply-To هو العنوان الذي يتم إرسال ردك إليه بهدوء عندما تضغط الزر. كما يوضح DMARC.org، يمكن لهذه أن تختلف بشكل شرعي، وهو بالضبط ما يجعلها مفيدة كمؤشر. على البريد الشرعي من بائع، تصطف جميعها عادة تحت نفس النطاق. على عملية احتيال حساب مخترق، يترك المهاجم From دون تغيير غالباً — يجب أن يبدو حقيقياً — لكنه يتسلل بـ Reply-To يشير إلى مكان آخر. accounts@yourvendor.com على الواجهة، accounts.yourvendor@gmail.com على الرد. نطاق مختلف. أحياناً مختلف بحرف واحد فقط.

يفعل المهاجم هذا لسبب بسيط. قد يتحكم في صندوق البريد المخترق الآن، لكنه لا يريد أن يهبط ردك مرة أخرى في صندوق الموظف الحقيقي، حيث قد يلاحظ الموظف الحقيقي فاتورة لم يرسلوها قط. لذلك يعيد توجيه المحادثة إلى عنوان يتحكم فيه تماماً. إعادة التوجيه هذه هي البصمة.

العثور عليها يستغرق حوالي 20 ثانية. في Outlook، افتح الرسالة واستخدم File → Properties لمشاهدة رؤوس الإنترنت؛ Microsoft توثق صيغة الرأس الكاملة إذا أردت قراءة كل سطر. في Gmail، اضغط على قائمة النقاط الثلاث واختر Show original. ابحث عن Reply-To: و Return-Path:. إذا أشار أي منهما إلى نطاق ليس من المرسل — أو إلى حساب بريد ويب مجاني عندما تتوقع حساباً شركياً — توقف. لا ترد على البريد. اتصل بالبائع على رقم كان لديك بالفعل، وليس رقماً مطبوعاً في الرسالة.

لا يتطلب أي من هذا منك أن تكون متخصصاً. يتطلب منك أن تكون مريباً من الرسائل الإلكترونية التي لا تشغل أي أجراس إنذار. علامة اختيار خضراء من مرشحك تعني أن الرسالة لم تُزيّف. لا تقول شيئاً عن من يمسك بمفاتيح الحساب الذي أرسلها.

عمليات الاحتيال التي تستنزف الحسابات في 2024 لا تبدو وكأنها عمليات احتيال. تبدو وكأنها يوم ثلاثاء. الرأس هو حيث لا يزال يتعين على الكذبة أن تعيش.