Το Gmail διαβάζει τις αποδείξεις σας πριν τις ανοίξετε — και οι απατεώνες το ξέρουν

Εκείνη η περιποιημένη κάρτα στην κορυφή του inbox σας που δείχνει ότι η παραγγελία σας από την Amazon θα φτάσει την Πέμπτη δεν δημιουργήθηκε από έναν AI που διαβάζει το μυαλό σας. Το Gmail βρήκε ένα μπλοκ σήμανσης schema.org που ο αποστολέας είχε θάψει στο HTML του email, το ανέλυσε και σχεδίασε την κάρτα για σας. Πράγμα που σημαίνει ότι ένας απατεώνας που επικολλά την ίδια σήμανση μπορεί να κάνει μια ψεύτικη παραγγελία να φαίνεται ακριβώς τόσο επιβεβαιωμένη όσο μια πραγματική.

Πώς ξέρει το Gmail ότι ένα πακέτο έρχεται πριν διαβάσετε το email;

Το λέει αυτό, σε μια γλώσσα που μπορούν να διαβάσουν μηχανές και που ζητά το Gmail. Τα έγγραφα προγραμματιστή της Google για τη σήμανση email είναι ρητά: τα καταστήματα λιανικής και οι αεροπορικές εταιρείες ενσωματώνουν δομημένα δεδομένα χρησιμοποιώντας το λεξιλόγιο schema.org, είτε ως JSON-LD είτε ως microdata, μέσα στο HTML του μηνύματος. Μια επιβεβαίωση παραγγελίας περιέχει ένα αντικείμενο Order με πεδία όπως orderNumber, orderStatus και ένα ένθετο ParcelDelivery με expectedArrivalUntil και URL παρακολούθησης. Μια πτήση περιέχει ένα FlightReservation με το αεροδρόμιο αναχώρησης, την πύλη, την ώρα επιβίβασης.

Ο αναλυτής του Gmail διαβάζει αυτά τα πεδία και τα εμφανίζει ως επισημάνσεις στην κορυφή του inbox και μέσα στο μήνυμα. Δεν υπάρχει AI που να «καταλαβαίνει» τα ταξιδιωτικά σας σχέδια. Διαβάζει επισημασμένα δεδομένα όπως ένα πρόγραμμα περιήγησης διαβάζει ένα πεδίο διεύθυνσης. Η νοημοσύνη βρίσκεται σχεδόν εξ ολοκλήρου στο HTML του αποστολέα, όχι στο μαύρο κουτί της Google.

Γιατί αυτό κάνει τις ψεύτικες παραγγελίες πιο πειστικές, όχι λιγότερο;

Επειδή η σήμανση είναι απλώς κείμενο, και το κείμενο αντιγράφεται. Δεν υπάρχει κρυπτογραφικός δεσμός ανάμεσα στο «αυτή η κάρτα λέει ότι η παραγγελία σας απεστάλη» και στο «αυτή η παραγγελία είναι πραγματική». Η διαδικασία καταχώρησης σχήματος της Google ελέγχει τον όγκο και τη μορφοποίηση ενός αποστολέα πριν ενεργοποιήσει πλούσιες κάρτες σε μεγάλη κλίμακα, αλλά το υποκείμενο JSON-LD είναι ορατό σε κάθε νόμιμη επιβεβαίωση που έχετε ποτέ λάβει. Ανοίξτε ένα, δείτε τον πηγαίο κώδικα, και εκεί είναι.

Ένας απατεώνας αποκομίζει αυτό το μπλοκ, αντικαθιστά το δικό του σύνδεσμο παρακολούθησης και έναν ψεύτικο αριθμό παραγγελίας, και το στέλνει. Αν το μήνυμα περάσει την αυθεντικοποίηση, το Gmail μπορεί χαρούμενα να σχεδιάσει μια καθαρή κάρτα «φθάνει σύντομα» πάνω από ένα email που είναι καθαρή δόλωση. Η οπτική εμπιστοσύνη που έχετε δημιουργήσει κατά τη διάρκεια εκατό πραγματικών παραδόσεων δανείζεται δωρεάν. Η κάρτα φαίνεται επίσημη επειδή η μορφή είναι επίσημη. Το περιεχόμενο είναι ό,τι έγραψε ο αποστολέας.

Τι διαχωρίζει πραγματικά μια πραγματική επιβεβαίωση από μια νοθευμένη;

Όχι η κάρτα. Οι κεφαλίδες αυθεντικοποίησης κάτω από αυτήν. Τρεις έλεγχοι αποφασίζουν αν ένας αποστολέας είναι αυτός που ισχυρίζεται: το SPF επιβεβαιώνει ότι ο εξυπηρετητής αποστολής είναι εξουσιοδοτημένος για το domain, το DKIM είναι μια κρυπτογραφική υπογραφή στο σώμα του μηνύματος, και το DMARC λέει στους παραλήπτες τι να κάνουν όταν το SPF ή το DKIM αποτύχουν. Η Google και το Yahoo καθιέρωσαν αυτό ως υποχρεωτικό για οποιονδήποτε στέλνει περισσότερα από 5.000 μηνύματα ημερησίως στους χρήστες του ξεκινώντας τον Φεβρουάριο 2024. Οι αποστολείς μαζικών μηνυμάτων χωρίς έγκυρο DMARC απορρίπτονται ή καταλήγουν σε σκουπίδια.

Αυτό είναι το επίπεδο που αξίζει να εμπιστεύεστε, και είναι αυτό που καμία κάρτα δεν σας δείχνει. Στο Gmail, ανοίξτε το μήνυμα, πατήστε το μενού τριών τελειών, επιλέξτε «Εμφάνιση αρχικού» και ψάξτε για PASS στο SPF, DKIM και DMARC. Ένα ψεύτικο email «παραγγελία απεστάλη» που ξεγελά έναν πραγματικό λιανοπωλητή συνήθως θα αποτύχει στο DKIM ή θα προέρχεται από ένα domain που δεν ευθυγραμμίζεται. Η όμορφη κάρτα δεν μπορεί να ψευδεθεί σχετικά με τις ημερομηνίες παράδοσης· οι κεφαλίδες δεν μπορούν να ψευδεθούν σχετικά με το ποιος το έστειλε. Τα εργαλεία που διαβάζουν αυτές τις κεφαλίδες για σας, συμπεριλαμβανομένης της ανίχνευσης απάτης σε AI email όπως xmail, ελέγχουν το ίδιο πράγμα, μόνο πιο γρήγορα από ό,τι θα κάνατε με το χέρι.

Τι πρέπει να κάνετε όταν εμφανίζεται μια κάρτα παραγγελίας που δεν περιμένατε;

Εμπιστευτείτε την παρακολούθηση που ξεκινήσατε, όχι την παρακολούθηση που φτάνει ανακοίνωτη. Αν μια κάρτα ισχυρίζεται μια παράδοση που δεν θυμάστε ότι παραγγείλατε, μην πατήσετε το σύνδεσμό της. Ο σύνδεσμος παρακολούθησης μέσα στη νοθευμένη σήμανση είναι ολόκληρο το σημείο του σχεδίου, που συχνά οδηγεί σε μια σελίδα «πληρώστε αυτό το δασμό» ή «επιβεβαιώστε τη διεύθυνσή σας» που συλλέγει λεπτομέρειες κάρτας. Το U.S. Postal Inspection Service και το FTC έχουν και τα δυο προειδοποιήσει επανειλημμένως για ψεύτικα κείμενα παράδοσης και emails που κάνουν ακριβώς αυτό.

Αντί για αυτό, πηγαίνετε στο λιανοπωλητή ή τον φορέα απευθείας, πληκτρολογήστε τη διεύθυνση μόνοι σας και επικολλήστε τον αριθμό παρακολούθησης εκεί. Αν η παραγγελία δεν υπάρχει στον πραγματικό σας λογαριασμό, η κάρτα ήταν θέατρο. Και αν θέλετε έναν δείκτη πριν καν κάνετε κλικ: ένα γνήσιο email αποστολής σχεδόν πάντα προέρχεται από ένα domain με το οποίο έχετε κάνει συναλλαγές και περνά το DMARC. Ένα νοθευμένο είναι συχνά απεσταλμένο από ένα ανάλογο domain που αποτυγχάνει την ευθυγράμμιση, με μια κάρτα που κάθεται από πάνω σαν δανειμένη στολή.

@@END@@