برنامج مكافحة الفيروسات لم يكن لديه فرصة واحدة ضد رسالة بريد فارغة

تتلقى موظفة الرواتب في شركة متوسطة الحجم رسالة بريد من الرئيس التنفيذي. بدون مرفق. بدون رابط. فقط خمسة أسطر تطلب منها تنفيذ تحويل سلكي عاجل إلى مورد جديد قبل حد الظهيرة، وتطلب منها الكتمان، نحن نُقفل الاستحواذ. تحول 180,000 دولار. الرئيس التنفيذي لم يرسلها أبداً. وكل برنامج أمان دفعت الشركة ثمنه رأى بالضبط لا شيء خاطئ، لأنه لم يكن هناك شيء لرؤيته.

هذا هو اختراق البريد الإلكتروني للشركة، وهو الجريمة الأكثر تكلفة في صندوق البريد الخاص بك بفارق كبير. سجّل مركز شكاوى الجرائم عبر الإنترنت التابع لمكتب التحقيقات الفيدرالي 2.9 مليار دولار في خسائر BEC المبلغ عنها في عام 2023 وحده. البرامج الفدية، الشيء الذي يثير الذعر الجماعي، الشيء الذي يأتي مع رسومات الجمجمة وعدادات الوقت؟ حققت حوالي 59.6 مليون دولار في الخسائر المبلغ عنها في نفس السنة. اختراق البريد الإلكتروني للشركة يتغلب عليها بمعامل يقترب من خمسين. واحدة من هذه تحصل على العناوين. الأخرى تحصل على أموالك.

السبب في فشل برنامج مكافحة الفيروسات هنا محرج تقريباً. ماسحات البرامج الضارة تعمل بفحص الكود — مرفق، ملف قابل للتنفيذ، ماكرو مخفي في جدول بيانات. تقارنه مقابل توقيعات معروفة سيئة أو تراقب سلوكه في صندوق الحماية. رسالة بريد اختراق البريد الإلكتروني للشركة تسلمهم ملاحظة نصية عادية مكتوبة بنبرة رئيسك. لا توجد حمولة لتفجيرها. السلاح جملة واحدة.

مما يعني أن الدفاع لا يمكن أن يكون ماسحة. يجب أن تكون عادة، والعادة تعيش في الرؤوس.

إليك المؤشر الذي لا ينظر إليه معظم الناس. حقل From وحقل Reply-To شيآن مختلفان، والمحتالون يستغلون الفجوة. يعرض سطر From اسماً وعنواناً تثق به — ceo@yourcompany.com، مكتوبة بشكل صحيح. لكن في اللحظة التي تضغط فيها على الرد، توجه الرسالة بهدوء إلى ceo.finance@gmail-secure-mail.com أو بعض النطاق المؤقت الذي يسيطر عليه المهاجم فعلياً. ردك، مع تأكيد التحويل، يبحر مباشرة إلى المحتال. اسم العرض كذب. Reply-To قال الحقيقة.

لذا درّب نفسك على توسيع الرأس قبل أن تتصرف بناءً على أي طلب مال. في Gmail، انقر على السهم الصغير تحت اسم المرسل. في Outlook، افتح تفاصيل الرسالة. إذا لم تتطابق Reply-To مع From، توقف. إذا كان النطاق مختلفاً بمقدار حرف واحد — rn يتظاهر بأنه m، أو .co حيث كنت تتوقع .com — توقف.

النسخة الأكثر تطوراً لا تزعج نفسها حتى بانتحال هوية نطاقك الخاص. إنها تنتحل هوية بائع حقيقي تدفع له بالفعل. المهاجم يجلس على حساب مورد مخترق لأسابيع، يقرأ خيط الفاتورة الفعلي، ثم يرسل رسالة بريد في اللحظة المثالية: "لقد قمنا بتحديث تفاصيل البنك الخاصة بنا، يرجى استخدام الحساب الجديد." هذا المتغير قاسي بالضبط لأن البريد الإلكتروني أصلي — يأتي من صندوق البريد الحقيقي المخترق للمورد. يمر SPF و DKIM و DMARC جميعاً بنظافة تامة، لأن الرسالة نشأت فعلاً من حيث تدعي. المصادقة تؤكد هوية المرسل. لا يمكنه تأكيد صدق المرسل.

هذه هي الحقيقة المريحة تحت كل هذا: المحتال بأكمله يعمل على الثقة والعجلة، شيآن لا يمكن لأي قاعدة بيانات توقيع قياسها. الرئيس التنفيذي الذي "لم يستخدم البريد الإلكتروني مثل هذا أبداً" يفعله فجأة. بائع بنفس طريقة الدفع لثلاث سنوات فجأة يغير الحسابات. الطلب يصل دائماً بسبب لا يمكنك التحقق منه قبل الظهيرة.

لذا تحقق عبر قناة أخرى. اتصل برقم لديك بالفعل — وليس الرقم الموجود في البريد الإلكتروني. مكالمة هاتفية لمدة عشر ثوانٍ قد ألغت تحويلات سلكية بملايين الدولارات بشكل أكثر موثوقية من أي منتج يحمل اسم جدار حماية. المحتالون يراهنون على أنك لن ترفع السماعة. أثبت خطؤهم.