Hlavička e-mailu, která pošle vaši odpověď přímo zloději

Tady je podvod, který stojí americké firmy více peněz než ransomware, malware a úniky dat dohromady – a obvykle vůbec nezahrnuje žádný malware. Žádný škodlivý odkaz. Žádná infikovaná příloha. Nic, co by váš antivirus zachytil. Jen e-mail, který vypadá, že pochází od vašeho CFO, a odpověď, která se tiše odešle někam jinam.

Tam, kde se ta odpověď odešle, je právě ten trik. A skrývá se v poli hlavičky, které vám téměř žádný e-mailový klient neukazuje.

Pole se nazývá Reply-To. Je součástí internetového standardi poštovního protokolu od samého začátku – RFC 5322 jej definuje jako adresu, na kterou by měly „směřovat" odpovědi, odděleno od adresy From. Při legitimním použití je to nudné a užitečné. Newsletter se odesílá z noreply@company.com, ale nastaví Reply-To na support@company.com, takže vaše otázky dorazí k člověku. To je vše. To je poctivá práce.

Kompromitace firemního e-mailu změní tu pohodlnost v zbraň. Místo těžké, technické práce se zfalšováním adresy From – což spustí alarmy SPF, DKIM a DMARC a dostane se to označeno – útočník si jen zaregistruje podobnou doménu nebo jednorazový Gmail. Pak nastaví zobrazované jméno na „Karen Vasquez, CFO", takže vaše schránka zobrazí známé lidské jméno tučně. Skutečná adresa From může být karen.vasquez.finance@gmail.com, ale vy ji nevidíte; vidíte „Karen Vasquez". A zásadně nastaví Reply-To na adresu, kterou ovládá on.

Takže si přečtete e-mail. Je krátký, věrohodný, trochu naléhavý. „Jsi u stolu? Musím, aby ses postaral o převod dříve, než se zavře banka." Klikneš na odpověď. Tvůj klient, který se snaží být užitečný, adresuje tvoji odpověď na Reply-To – ne na From. Teď mluvíš s útočníkem, a každá zpráva, kterou pošleš, potvrzuje, že jsi kousnul na návnadu.

Měřítko zde není zaokrouhlovací chyba. Internet Crime Complaint Center FBI zaznamenal v samotném roce 2023 2,9 miliardy dolarů v nahlášených ztrátách BEC, v rámci více než 21 000 stížností. To je hlášené číslo, od lidí, kteří si toho všimli a podali hlášení. Skutečné číslo je větší, protože převod, který se provede, vypadá jako normální úterý, dokud nedojde k odsouhlasení.

Co na tom je šílené, je to, že obrana je hned tam a skrytá. Každý poštovní klient zná Reply-To hodnotu. Téměř žádný ji nezobrazuje. Gmail sbalí odesílatele do zobrazovaného jména a malé stříšky, na kterou musíš kliknout. Outlook skryje skutečné adresy pod „Zobrazit zdroj" nebo dialog vlastností, který většina lidí nikdy neotevřela. To jedno pole, které prozradí podvod, je právě to pole, které rozhraní zachází jako s přítěží.

Tak si vytvoř zvyk. Dřív, než odpovíš čemukoliv, co zahrnuje peníze, změněné bankovní údaje nebo naléhavost, rozbal hlavičku. V Gmailu klikni na šipku dolů vedle jména odesílatele a přečti si skutečný řádek „reply-to". Pokud From říká jednu věc a Reply-To ukazuje na jiný poštovní box, zastav se. Ten nesoulad je v e-mailu ohledně financí zřídka nevinný.

Ještě lépe je neodpovídat vůbec. Vytvoř novu zprávu na adresu, kterou už máš uloženou pro tu osobu, nebo si vezmi telefon a zavolej číslo, které jsi nedostal z e-mailu. Útočníci počítají s tím, že zůstaneš v konverzaci, kterou pro tebe vytvořili.

Temná elegance tohoto podvodu spočívá v tom, že projde všemi automatizovanými kontrolami tím, že neporušuje žádné pravidlo. Adresa From je technicky opravdu existující. Doména se ověřuje v pořádku. Nic není zfalšováno. Lež není v instalaci – je v tom jednom řádku, který tvůj software rozhodl, že nepotřebuješ vidět.