read receipts
Dit antivirus havde aldrig en chance mod en tom email
Det svindel, der tømte amerikanske virksomheder for $2,9 milliarder sidste år, indeholdt ikke en eneste virus. Det indeholdt en emnelinje og en anmodning.
En lønafdelingssekretær i en mellemstor virksomhed modtager en email fra CEO'en. Ingen vedhæftning. Intet link. Blot fem linjer, der beder hende om at sende en hastende pengeoverførsel til en ny leverandør før middagsfristerne, og vær venlig at holde det stille, vi lukker opkøbet. Hun sender $180.000. CEO'en har aldrig sendt det. Og alt det sikkerhedssoftware, virksomheden betalte for, så præcis ingenting galt, fordi der var ingenting at se.
Dette er business email compromise, og det er den dyreste forbrydelse i din indbakke i vid margin. FBI's Internet Crime Complaint Center registrerede $2,9 milliarder i rapporterede BEC-tab alene i 2023. Ransomware, det som alle går i panik over, det med dødninghoveder og nedtællingsurmålere? Det resulterede i cirka $59,6 millioner i rapporterede tab samme år. BEC slår det med en faktor på næsten halvtreds. Den ene får overskrifter. Den anden får dine penge.
Årsagen til, at antivirus fejler her, er næsten pinlig. Malware-scannere fungerer ved at undersøge kode — en vedhæftning, en eksekverbar fil, en makro gemt i et regneark. De sammenligner den med kendt-dårlige signaturer eller ser den opføre sig i en sandkasse. En BEC-email giver dem en almindelig tekstnote skrevet i tonen fra din chef. Der er ingen payload, der skal detonere. Våbnet er en sætning.
Hvilket betyder, at forsvaret ikke kan være en scanner. Det må være en vane, og vanen bor i headerne.
Her er det tegn, de fleste mennesker aldrig ser efter. Feltet From og feltet Reply-To er to forskellige ting, og svindlere udnytter hullet. From-linjen viser et navn og en adresse, du stoler på — ceo@yourcompany.com, stavet korrekt. Men i det øjeblik, du trykker svar, omdirigeres beskeden stille til ceo.finance@gmail-secure-mail.com eller et engangsdomain, angriberen faktisk kontrollerer. Dit svar, med bekræftelsen på overførslen, sendes lige til forbrydelsen. Visningsnavnet løj. Reply-To fortalte sandheden.
Så træn dig selv til at udvide headeren, før du handler på nogen anmodning om penge. I Gmail skal du klikke på den lille pil under afsendeens navn. I Outlook skal du åbne meddelelses detaljer. Hvis Reply-To ikke matcher From, stop. Hvis domænet er forkert med et tegn — rn der udgiver sig for m, en .co hvor du forventede .com — stop.
Den mere sofistikerede version nøjes ikke engang med at forfalske dit eget domæne. Den udgiver sig for at være en rigtig leverandør, du allerede betaler. Angriberen sidder på en kompromitteret leverandørkonto i uger, læser den faktiske fakturatråd, og emailer så på det perfekte øjeblik: "Vi har opdateret vores bankoplysninger, brug venligst den nye konto." Denne variant er brutal netop fordi emailen er autentisk — den kommer fra leverandørens rigtige, brækkede indbakke. SPF, DKIM og DMARC går alle gennem rent, fordi beskeden virkelig stammer fra det sted, den hævder. Autentifikation bekræfter afsenderen. Det kan ikke bekræfte afsenderen ærlighed.
Det er den ubehagelige sandhed under alt dette: hele svindlet kører på tillid og hastværk, to ting ingen signaturdatabase kan måle. En CEO, der "aldrig bruger email på denne måde" gør det pludselig. En leverandør, der har faktureret dig på samme måde i tre år, ændrer pludselig konti. Anmodningen kommer altid med en grund, du ikke kan bekræfte før middag.
Så bekræft gennem en anden kanal. Ring til det nummer, du allerede har — ikke det i emailen. Et ti sekunder langt telefonopkald har omgørt sekscifrede overførsler mere pålideligt end noget produkt med firewall i sit navn. Svindlerne satser på, at du ikke tager telefonen. Bevis dem forkert.