Tvůj antivirus nikdy neměl šanci proti prázdnému e-mailu

Personalista v středně velké firmě obdrží e-mail od generálního ředitele. Žádná příloha. Žádný odkaz. Jenom pět řádků, které ji vyzývají, aby provedla naléhavý převod nového dodavateli před polednem, a prosím, ať to nikomu neříká, zavíráme akvizici. Převede 180 000 dolarů. Generální ředitel nikdy zprávu neposlal. A každý kus bezpečnostního softwaru, který si firma pronajala, neviděl vůbec nic podezřelého, protože nebylo co vidět.

Toto je zneužití obchodního e-mailu, a je to zdaleka nejdražší zločin ve vaší schránce. Internetské centrum hlášení zločinů FBI zaznamenalo $2,9 miliardy na hlášených ztrátách BEC (Business Email Compromise) pouze v roce 2023. Ransomware, věc, nad kterou se všichni hrůzou, věc se lebkami a odpočítávacími časovači? Ten měl zhruba $59,6 milionů na hlášených ztrátách téhož roku. BEC ji překonává faktor téměř padesáti. Jedna z těchto věcí se dostane do titulků. Druhá vám vezme peníze.

Důvod, proč zde antivirus selhává, je skoro trapný. Skenery malwaru fungují tak, že zkoumají kód — přílohu, spustitelný soubor, makro zabudované v tabulce. Porovnávají jej s známými špatnými podpisy nebo pozorují jeho chování v izolovaném prostředí. BEC e-mail jim předloží prostý textový vzkaz napsaný tónem vašeho šéfa. Neexistuje žádná zátěž, kterou by se měla odpálit. Zbraní je věta.

To znamená, že obrana nemůže být skener. Musí to být zvyk, a zvyk se skrývá v hlavičkách.

Zde je znamení, které si většina lidí nikdy nevšimne. Pole From a pole Reply-To jsou dvě různé věci, a podvodníci tuto mezeru zneužívají. Řádek From zobrazuje jméno a adresu, kterou důvěřujete — ceo@yourcompany.com, napsáno správně. Ale jakmile se rozhodnete odpovědět, zpráva se potichu směruje na ceo.finance@gmail-secure-mail.com nebo nějakou jednoho použití doménu, kterou podvodník skutečně kontroluje. Vaše odpověď s potvrzením převodu putuje přímo podvodníkovi. Zobrazované jméno lhalo. Reply-To řeklo pravdu.

Takže si zvykněte rozbalit hlavičku dříve, než budete jednat na základě jakékoli žádosti o peníze. V Gmailu klikněte na malou šipku pod jménem odesílatele. V Outlooku otevřete podrobnosti zprávy. Pokud se Reply-To neshoduje s From, zastavte se. Pokud je doména špatná o jeden znak — rn vydávající se za m, .co místo .com — zastavte se.

Sofistikovanější verze si ani nevšímá padělání vaší vlastní domény. Vydává se za skutečného dodavatele, kterému již platíte. Útočník zasedne na kompromitovaný účet dodavatele týdny dopředu, přečte si skutečné vlákno faktury, poté odešle e-mail v dokonalý moment: „Aktualizovali jsme naše bankovní údaje, prosím použijte nový účet." Tato varianta je krutá právě proto, že e-mail je autentický — pochází z reálné, prolomené schránky dodavatele. SPF, DKIM a DMARC všechny projdou čistě, protože zpráva skutečně pocházela odkud tvrdí. Ověření potvrzuje odesílatele. Nedokáže potvrdit poctivost odesílatele.

To je nepříjemná pravda, která se skrývá pod všechny tímto: celý podvod se opírá o důvěru a spěch, dvě věci, které žádná databáze podpisů nedokáže měřit. Generální ředitel, který „nikdy nepoužívá e-mail tímto způsobem", jej náhle používá. Dodavatel, který vám tři roky účtuje stejně, náhle změní účty. Žádost vždy přijde s důvodem, který se do poledne nedá ověřit.

Tak ověřte na jiném kanálu. Zavolejte číslo, které již máte — ne to, které je v e-mailu. Desetisekundový telefonický hovor zrušil převody v šesticiferné výši spolehlivěji než jakýkoli produkt s firewallem v názvu. Podvodníci se sázejí, že se rozhodnete nezavolat. Dokažte jim, že se mýlí.