Den falske faktura der bestod alle spamtest

En leverandør, du har betalt dusin gange før, sender en ny faktura. Samme logo, samme accountmanager, samme høflig underskrift. Den eneste forskel er en linje gemt i emailens header — og den linje omdirigerede netop din $48.000 betaling til en fremmed i et andet land.

Dette er den del af inboxbedrageri, som ingen advarer dig om: de farlige fakturaer er ikke de usle. De er de pæne. En svindler, der bryder sig ind på en rigtig forretningsemailkonto, behøver ikke at forfalske noget. Mailen sendes fra det ægte domæne, signeret med ægte nøgler. SPF bestås. DKIM bestås. DMARC bestås. Dit spamfilter ryger på skuldre og lader den passere, for så vidt som matematikken angår, er dette legitim mail. Det er det. Det sendes bare af det forkerte menneske.

Derfor er business email compromise det dyreste bedrageri i verden, og det er ikke engang tæt på. FBIs Internet Crime Complaint Center registrerede cirka $2,9 mia. i BEC-tab alene i 2023 — bankoverførsler, der blev sendt på baggrund af en email, der så ud til at være helt i orden efter alle automatiserede målestokke. Ingen malware. Intet suspekt link. Bare en troværdig anmodning om at opdatere betalingsoplysninger, sendt fra en indboks, der var stilfærdig blevet kapret.

Så hvis spamscoren ikke redder dig, hvad gør så?

To headerlinjer, du kan læse på under et minut: Reply-To og Return-Path.

Her er forskellen, i klare ord. From-adressen er det, du ser på emailkonvolutten. Return-Path er hvor bounce-beskeder går, hvis levering mislykkes — den tekniske "afsender", som den modtagende server rent faktisk interesserer sig for. Og Reply-To er adressen dit svar stille og roligt sendes til, når du trykker på knappen. Som DMARC.org forklarer, kan disse med rette være forskellige, hvilket er præcis hvad der gør dem nyttige som et kendetegn. På ærlig mail fra en leverandør er alle tre normalt på linje under samme domæne. På et kapret-konto-bedrageri lader angriberen ofte From urørt — det skal se rigtig ud — men smider en Reply-To ind, der peger andre steder hen. accounts@yourvendor.com på forsiden, accounts.yourvendor@gmail.com på svaret. Forskellige domæner. Nogle gange ved at variere med et enkelt tegn.

Angriberen gør dette af en simpel grund. De kontrollerer måske den kompromitterede postboks lige nu, men de ønsker ikke, at dit svar lander tilbage i den rigtige ejers indboks, hvor den rigtige medarbejder måske bemærker en faktura, de aldrig sendte. Så de omdirigerer samtalen til en adresse, de fuldt ud kontrollerer. Den omdirigering er fingeraftrykket.

Det tager omkring 20 sekunder at finde. I Outlook skal du åbne beskeden og bruge Filer → Egenskaber for at se internetheaderne; Microsoft dokumenterer det fulde headerformat, hvis du gerne vil læse hver linje. I Gmail skal du klikke på tre-prik-menuen og vælge Vis original. Scan efter Reply-To: og Return-Path:. Hvis nogen af dem peger til et domæne, der ikke er afsenderens — eller til en gratis webmail-konto, når du ville forvente en virksomhedskonto — stop. Svar ikke på emailen. Ring til leverandøren på et nummer, du allerede havde, ikke et, der er trykt i beskeden.

Intet af dette kræver, at du er teknisk. Det kræver, at du er mistænksom over for præcis de emails, der ikke udløser nogen alarmer. Et grønt flueben fra dit filter betyder, at beskeden ikke blev forfalsk. Det siger intet om, hvem der holder nøglerne til den konto, der sendte den.

De bedrageri, der dræner konti i 2024, ser ikke ud som bedrageri. De ser ud som tirsdag. Headeren er der, hvor løgnen stadig skal bo.