Το Netflix σας έμαθε να κάνετε κλικ στο email «Κάποιος χρησιμοποιεί τον λογαριασμό σας». Οι απατεώνες το παρατήρησαν.

Το email που λέει «μια συσκευή σε νέα τοποθεσία συνδέθηκε στον λογαριασμό σας» εκτελεί δύο εργασίες ταυτόχρονα, και μόνο η μία αφορά την ασφάλεια. Όταν το Netflix τερμάτισε τη δωρεάν κοινή χρήση λογαριασμού, ώθησε τους συνδρομητές λογαριασμών προς ένα πληρωτό πρόσθετο «extra member» που στις ΗΠΑ κοστίζει περίπου $8 ανά μήνα επιπλέον του πακέτου — και το κίνητρο που σας οδηγεί εκεί φαίνεται σχεδόν ακριβώς σαν το phishing bait που κάθεται στον φάκελό σας με τα ανεπιθύμητα. Αυτή η ομοιότητα δεν είναι τύχη. Είναι ολόκληρο το πρόβλημα.

Γιατί το πραγματικό email του Netflix μοιάζει με απάτη;

Γιατί είναι κατασκευασμένο για να ενεργοποιήσει τον ίδιο αντανακλαστικό που ενεργοποιεί μια απάτη: επιτακτικότητα σχετικά με τον λογαριασμό σας, συν ένα προφανές κουμπί. Η λοταρία πληρωτής κοινής χρήσης του Netflix τον Μάιο 2023 στις ΗΠΑ στηρίχθηκε σε μηνύματα σχετικά με συσκευές «που δεν αποτελούν μέρος του νοικοκυριού σας», ζητώντας από τους χρήστες να επαληθεύσουν, να μεταφέρουν ένα προφίλ ή να πληρώσουν για να προσθέσουν ένα μέλος. Όλα νόμιμα. Όλα όμως επίσης δυσδιάκριτα στη δομή τους από το πρότυπο «unusual sign-in, confirm now» που χρησιμοποιούν οι phishers από χρόνια.

Η εταιρεία ανέφερε ότι η εκστρατεία δούλεψε σαν μηχανή ανάπτυξης — προσέθεσε περίπου 5.9 εκατομμύρια συνδρομητές το τρίμηνο που ξεκίνησε η πληρωτή κοινή χρήση στις ΗΠΑ, ένας αριθμός που ξεπέρασε τις προσδοκίες της Wall Street και αναδιαμόρφωσε την άποψη ολόκληρης της βιομηχανίας για την κοινή χρήση ως διαρροή που πρέπει να μετατραπεί σε έσοδα. Έτσι η ειδοποίηση δεν είναι ουδέτερη υποδομή. Είναι ένας μηχανισμός κατακράτησης και upsell που φοράει ένα σήμα που λέει SECURITY. Spotify, Disney+, και άλλες έχουν εκτελέσει παραλλαγές του ίδιου παιχνιδιού.

Πώς σκαρφάλωνει ένα ψεύτικο πέρα από εσάς;

Αντιγράφει ένα email που σας έχουν ήδη μάθει να υπακούετε. Μόλις μια πραγματική πλατφόρμα σας συνθηκεύσει να αναμένετε μηνύματα ασφάλειας λογαριασμού με ένα μεγάλο φιλικό κουμπί, η σας φρουρά πέφτει για τα ψεύτικα. Η US Federal Trade Commission έχει σημειώσει ακριβώς αυτό το σχέδιο στις ειδοποιήσεις καταναλωτών της: μηνύματα που προσποιούνται υπηρεσίες streaming ή συνδρομής που ισχυρίζονται ότι μια πληρωμή απέτυχε ή μια σύνδεση φαινόταν ύποπτη, σας κατευθύνοντας σε μια σελίδα αντιγράφου που συγκομίζει τον κωδικό πρόσβασης και την κάρτα σας.

Το σημάδι είναι σχεδόν ποτέ στο σχεδιασμό, γι' αυτό και το να κοιτάξετε εάν «φαίνεται πραγματικό» δεν λειτουργεί. Είναι στις κεφαλίδες. Ένα γνήσιο μήνυμα Netflix περνάει SPF και DKIM για ένα netflix.com domain και ευθυγραμμίζεται με DMARC· μια απάτη συνήθως δεν περνάει ευθυγράμμιση ή φτάνει από ένα cousin domain όπως netffix-billing.com. Το αντανακλαστικό σας δεν μπορεί να διαβάσει SPF. Το λογισμικό μπορεί — ένα καλό AI inbox που σημαιοφορεί phishing ελέγχει την αυθεντικοποίηση πριν δείτε ποτέ τη γραμμή θέματος. Επίσης: περάστε τον δείκτη στο κουμπί. Οι πραγματικοί σύνδεσμοι streaming πάνε στο δικό τους domain της μάρκας, όχι σε ένα shortener ή μια σειρά από τυχαίους χαρακτήρες.

Τι θα έπρεπε πράγματι να κάνετε όταν ένα φτάσει;

Μην κάνετε ποτέ κλικ στο κουμπί του email — πηγαίνετε στην εφαρμογή ή πληκτρολογήστε τη διεύθυνση μόνοι σας. Αυτή είναι η μόνη συνήθεια που νικά την ολόκληρη κατηγορία, γιατί κάθε εκδοχή αυτής της απάτης εξαρτάται από το να χρησιμοποιήσετε το δικό τους σύνδεσμο αντί του δικού σας. Αν ο λογαριασμός σας πραγματικά προσπελάστηκε, θα το δείτε στις ρυθμίσεις σας στο πρόσφατη σύνδεσης, και μπορείτε να επαναφέρετε τον κωδικό πρόσβασης και να αποσυνδεθείτε από όλες τις συσκευές από εκεί.

Αντιμετωπίστε τα μηνύματα αποτυχίας πληρωμής με τον ίδιο τρόπο. Η καθοδήγηση της FTC είναι απλή: οι εταιρείες με τις οποίες κάνετε επιχειρήσεις δεν θα σας στείλουν email με σύνδεσμο που απαιτεί τα στοιχεία κάρτας σας για να αποφύγετε να χάσετε την υπηρεσία. Αν το Netflix θέλει τα χρήματά σας, θα σας το πει μέσα στην εφαρμογή που ήδη πληρώνετε. Το άβολο μέρος είναι ότι οι πλατφόρμες το έκαναν αυτό δυσκολότερο σκοπίμως. Ντύνοντας το marketing σαν προειδοποίηση, έχουν περάσει χρόνια να μαθαίνουν σε ένα δισεκατομμύριο ανθρώπων ότι ένα επιτακτικό email λογαριασμού αξίζει ένα κλικ. Οι απατεώνες απλώς συλλέγουν στο μάθημα.