Email-headeren, der sender dit svar lige til en tyv

Her er et svindelnummer, der koster amerikanske virksomheder flere penge end ransomware, malware og databrud tilsammen – og det involverer normalt slet ikke malware. Intet ondartet link. Intet inficeret vedhæftet fil. Ingenting for dit antivirus at fange. Bare en email, der ser ud til at komme fra din CFO, og et svar, der stille og roligt goes et helt tredje sted hen.

Det tredje sted er tricket. Og det gemmer sig i et header-felt, som næsten ingen email-klient viser dig.

Feltet hedder Reply-To. Det har været en del af internetmail-standarden siden begyndelsen – RFC 5322 definerer det som adressen, hvor svar "bør" gå hen, adskilt fra From-adressen. I legitim brug er det kedelig og brugbar. Et nyhedsbrev sender fra noreply@company.com, men sætter Reply-To til support@company.com, så dine spørgsmål lander hos et menneske. Det er det hele. Det er det ærlige arbejde.

Business email compromise omdanner den bekvemmelighed til et våben. I stedet for det hårde, tekniske arbejde med at forfalske en From-adresse – hvilket udløser SPF-, DKIM- og DMARC-alarmer og bliver markeret – registrerer angriberen bare et domæne, der ligner, eller en engangsgmail. Derefter sætter de display-navn til "Karen Vasquez, CFO", så din indbakke viser et velkendt menneskenavn i fed skrift. Den faktiske From-adresse kunne være karen.vasquez.finance@gmail.com, men det ser du ikke; du ser "Karen Vasquez." Og afgørende: de sætter Reply-To til en adresse, de kontrollerer.

Så du læser emailen. Den er kort, plausibel, lidt presserende. "Sidder du ved dit skrivebord? Jeg har brug for, at du behandler en overførsel, før banken lukker." Du trykker svar. Din klient er hjælpsom og adresserer dit svar til Reply-To – ikke From. Du snakker nu med angriberen, og hver besked du sender bekræfter, at du gik i fælden.

Omfanget her er ikke en afrundingsfejl. FBI's Internet Crime Complaint Center registrerede $2,9 milliarder i rapporterede BEC-tab i 2023 alene, fordelt på mere end 21.000 klager. Det er det rapporterede tal, fra mennesker, der bemærkede det og anmeldte det. Det reelle tal er større, fordi en overførsel, der går gennem, ligner en helt normal tirsdag, indtil revision.

Det, der gør dette vanvittigt, er, at forsvaret ligger der og er gemt væk. Hver mail-klient kender Reply-To-værdien. Næsten ingen viser den. Gmail sammenklappper afsenderen til et display-navn og en lille caret, som du skal klikke på. Outlook gemmer de rigtige adresser under "Vis kilde" eller en egenskabsdialog, som de fleste mennesker aldrig har åbnet. Det ene felt, der afsløres svindelen, er det ene felt, som grænsefladen behandler som rod.

Træn derfor vanen. Før du svarer på noget, der involverer penge, ændrede bankoplysninger eller pressering, udvid headeren. I Gmail skal du klikke på pil-ned-knappen ved siden af afsenderens navn og læse den faktiske "reply-to"-linje. Hvis From siger ét og Reply-To peger på en anden mailbox, stop. Den uoverensstemmelse er sjældent uskyldigt i en finansemail.

Bedre endnu: svar slet ikke. Start en ny besked til adressen, som du allerede har gemt for personen, eller ring et nummer, som du ikke fik fra emailen. Angribere regner med, at du bliver inde i tråden, de byggede.

Dette svindelummer's grimme elegance er, at det passerer enhver automatisk kontrol ved ikke at bryde nogen regel. From-adressen er teknisk set rigtig. Domænet autentificerer fint. Ingenting er forfalsket. Løgnen ligger ikke i ledningerne – den ligger i den ene linje, som din software besluttede, at du ikke havde brug for at se.