Falešná faktura, která prošla všemi testy pro spam

Dodavatel, kterému jste již dozen krát zaplatili, vám pošle novou fakturu. Stejné logo, stejný správce účtu, stejné zdvořilé rozloučení. Jediný rozdíl je jeden řádek ukrytý v záhlaví emailu — a právě ten řádek přesměroval vaších 48 000 dolarů na cizince z jiné země.

Toto je část podvodu v inboxu, o níž vás nikdo nevaruje: nebezpečné nejsou ty chaotické faktury. Nebezpečné jsou ty čisté. Podvodník, který se vloupá do skutečného email účtu firmy, nemusí nic falšovat. Mail vychází z autentické domény, podepsaný autentickými klíči. SPF projde. DKIM projde. DMARC projde. Váš spamový filtr jen pokrčí rameny a nechá to projít, protože z matematického hlediska jde o legitimní mail. Je to tak. Jen ho poslal špatný člověk.

Právě proto je kompromitace firemního emailu nejdražší podvod vůbec a není to ani zdaleka. FBI Internet Crime Complaint Center zaznamenala přibližně 2,9 miliardy dolarů ztrát z BEC v samotném roce 2023 — převody, které odešly na základě emailu, který vypadal podle každého automatizovaného měřítka zcela v pořádku. Žádný malware. Žádný podezřelý odkaz. Jen věrohodná žádost o aktualizaci údajů o platbě, poslána z inboxu, který byl tiše kompromitován.

Pokud vás tedy spamový skóre nezachrání, co vás zachrání?

Dva řádky záhlaví, které si můžete přečíst za méně než minutu: Reply-To a Return-Path.

Zde je rozdíl, jednoduše řečeno. Adresa From (Odesílatel) je to, co vidíte na přední straně obálky. Return-Path (Cesta vrácení) je místo, kam jdou chybové zprávy, pokud se doručení nezdaří — technický „odesílatel", na kterém server příjemce skutečně záleží. A Reply-To (Odpovědět na) je adresa, na kterou se vaše odpověď potichu odešle, když stisknete tlačítko. Jak vysvětluje DMARC.org, tyto položky se mohou legitimně lišit, což je přesně to, co je činí užitečnými jako indici. U poctivých mailů od dodavatele si všechny tři adresy obvykle sjednocují v rámci stejné domény. U podvodu ze zkompromitovaného účtu útočník často ponechá From beze změny — musí to vypadat reálně — ale vloží Reply-To ukazující někam jinam. accounts@yourvendor.com na přední straně, accounts.yourvendor@gmail.com na odpovědi. Jiná doména. Někdy se liší jen o jeden znak.

Útočník to dělá z jednoduchého důvodu. Zkompromitovanou poštovní schránku může ovládat právě teď, ale nechce, aby se vaše odpověď vrátila do inboxu skutečného majitele, kde by si skutečný zaměstnanec mohl všimnout faktury, kterou nikdy neodeslal. Takže přesměruje konverzaci na adresu, kterou plně ovládá. Toto přesměrování je otiskem prstu.

Nalezení trvá přibližně 20 sekund. V Outlooku otevřete zprávu a pomocí Soubor → Vlastnosti si zobrazte internetová záhlaví; Microsoft zdokumentoval úplný formát záhlaví, pokud chcete přečíst každý řádek. V Gmailu klikněte na nabídku se třemi tečkami a zvolte Zobrazit původní zprávu. Prohledejte Reply-To: a Return-Path:. Pokud některá z nich ukazuje na doménu, která není doménou odesílatele — nebo na bezplatný webmail účet, když byste čekali podnikový — zastavte se. Neodpovídejte na email. Zavolejte dodavateli na číslo, které jste již měli, ne na číslo vytištěné ve zprávě.

Nic z toho nevyžaduje, abyste byli technici. Vyžaduje to, abyste byli podezřívaví vůči přesně těm emailům, které nebudou spouštět žádné alarmy. Zelená značka od vašeho filtru znamená, že zpráva nebyla zfalšována. Říká nic o tom, kdo drží klíče k účtu, který ji odeslal.

Podvody, které vyprazdňují účty v roce 2024, nevypadají jako podvody. Vypadají jako úterý. Záhlaví je místo, kde lež stále musí být někde skryta.