Gmail læser dine kvitteringer før du gør – og svindlere ved det

Det pæne kort øverst i indbakken, som viser, at din Amazon-ordre ankommer torsdag, blev ikke skabt af en AI, der læser dine tanker. Gmail fandt en blok schema.org-markup, som afsenderen havde gemt i emailens HTML, tolkede den og tegnede kortet for dig. Hvilket betyder, at en svindler, der indsætter den samme markup, kan få en falsk ordre til at se lige så bekræftet ud som en rigtig.

Hvordan ved Gmail, at en pakke er på vej, før du læser emailen?

Afsenderen fortæller det – på et maskinlæseligt sprog, som Gmail beder dem tale. Googles udvikler-dokumentation for email-markup er eksplicit: forhandlere og flyselskaber indlejrer strukturerede data ved hjælp af schema.org-vokabular, enten som JSON-LD eller mikrodata, inde i beskedHTMLet. En ordrebekræftelse indeholder et Order-objekt med felter som orderNumber, orderStatus og et indlejret ParcelDelivery med expectedArrivalUntil og en tracking-URL. En flyvning indeholder en FlightReservation med afgangslufthavn, gate og boardingtid.

Gmails parser læser disse felter og gengiver dem som fremhævelser øverst i indbakken og inde i beskeden. Ingen AI "forstår" dine rejseplaner. Den læser mærkede data på samme måde, som en browser læser et adressefeld. Intelligensen ligger næsten helt i afsenderens HTML, ikke i Googles sorte boks.

Hvorfor gør det falske ordrer mere overbevisende, ikke mindre?

Fordi markupen bare er tekst, og tekst kopieres. Der er ingen kryptografisk forbindelse mellem "dette kort siger, at din ordre blev sendt" og "denne ordre er rigtig." Googles skemaregistreringsproces kontrollerer en afsendes volumen og formatering, før den aktiverer beriget kort i stor skala, men den underliggende JSON-LD sidder til fuld beskuelse i hver eneste legitim bekræftelse, du nogensinde har modtaget. Åbn en, vis kilden, og der er den.

En svindler skraber den blok, udskifter deres egen tracking-link og et falsk ordrenummer, og sender det. Hvis beskeden passerer godkendelse, kan Gmail glade tegne et pænt "ankommer snart"-kort over en email, der er ren lokkemad. Den visuelle tillid, du har opbygget over hundrede rigtige leverancer, bliver lånt gratis. Kortet ser officielt ud, fordi formatet er officielt. Indholdet er hvad afsenderen skrev.

Hvad adskiller egentlig en rigtig bekræftelse fra en forfalsket?

Ikke kortet. Godkendelses-headerne under det. Tre kontroller bestemmer, om en afsender er, hvem de giver sig ud for at være: SPF bekræfter, at sendserveren er autoriseret for domænet, DKIM er en kryptografisk signatur på beskedteksten, og DMARC fortæller modtagere, hvad de skal gøre, når SPF eller DKIM fejler. Google og Yahoo gjorde dette ikke-valgfrit for alle, der sender mere end 5.000 beskeder om dagen til deres brugere startende februar 2024. Masseafsendere uden gyldig DMARC bliver afvist eller sendt til spam.

Det er det lag, der er værd at stole på, og det er det, som intet kort viser dig. I Gmail skal du åbne beskeden, trykke på tre-prik-menuen, vælge "Vis original" og lede efter PASS på SPF, DKIM og DMARC. En forfalsket "ordre sendt"-email, der udgiver sig for at være fra en rigtig forhandler, fejler normalt DKIM eller kommer fra et domæne, der ikke stemmer overens. Det pæne kort kan ikke lyve om leveringsdatoer; headerne kan ikke lyve om, hvem der sendte det. Værktøjer, der læser disse headere for dig, herunder bedrageri-markering i AI-email som xmail, tjekker det samme, bare hurtigere end du ville gøre det i hånden.

Hvad skal du gøre, når et overraskende pakkekort dukker op?

Stol på den tracking, du selv igangsatte, ikke den tracking, der ankom uventet. Hvis et kort hævder en levering, du ikke husker at have bestilt, skal du ikke trykke på dets link. Tracking-URLen inde i forfalskede markup er hele pointen med svindlen, og fører ofte til en "betal dette toldfgebyr" eller "bekræft din adresse"-side, der høster kort-detaljer. U.S. Postal Inspection Service og FTC har begge advaret gentagne gange om falske leveringstekster og emails, der gør netop dette.

I stedet skal du gå direkte til forhandleren eller fragtselskabet, skrive adressen selv og indsætte trackingnummeret der. Hvis ordren ikke findes på din rigtige konto, var kortet teater. Og hvis du gerne vil have et varsel, før du overhovedet klikker: en rigtig shipping-email kommer næsten altid fra et domæne, du har handlet med, og består DMARC. En forfalsket er ofte sendt fra et lign domæne, der fejler alignment, med et kort sat ovenpå som en lånt uniform.