Η κεφαλίδα email που στέλνει την απάντησή σας κατευθείαν σε έναν κλέφτη

Ορίστε μια απάτη που κοστίζει στις αμερικανικές επιχειρήσεις περισσότερα χρήματα από το ransomware, το malware και τις παραβιάσεις δεδομένων συνδυασμένα, και συνήθως δεν περιλαμβάνει καν κάποιο malware. Κανένας κακόβουλος σύνδεσμος. Κανένα μολυσμένο συνημμένο. Τίποτα που να μπορεί να πιάσει το antivirus σας. Απλώς ένα email που φαίνεται ότι προέρχεται από τον CFO σας, και μια απάντηση που ησυχα πηγαίνει κάπου αλλού.

Εκείνο το κάπου αλλού είναι το κόλπο. Και ζει σε ένα πεδίο κεφαλίδας που σχεδόν κανένας email client δεν σας δείχνει.

Το πεδίο ονομάζεται Reply-To. Είναι μέρος του διαδικτυακού προτύπου αλληλογραφίας από την αρχή — το RFC 5322 το ορίζει ως τη διεύθυνση όπου οι απαντήσεις «θα έπρεπε» να πάνε, ξεχωριστή από τη διεύθυνση From. Στη νόμιμη χρήση είναι ανώδυνο και χρήσιμο. Ένα newsletter στέλνεται από noreply@company.com αλλά θέτει Reply-To σε support@company.com ώστε οι ερωτήσεις σας να φτάσουν σε ένα ανθρώπινο όν. Αυτό είναι. Αυτή είναι η ειλικρινής δουλειά.

Ο συμβιβασμός επαγγελματικού email μετατρέπει εκείνη την ευκολία σε όπλο. Αντί του δύσκολου, τεχνικού έργου της πλαστογραφίας μιας διεύθυνσης From — που ενεργοποιεί αlarmsα SPF, DKIM και DMARC και σημαιοδοτείται — ο επιτιθέμενος απλώς εγγράφει ένα παρόμοιο domain ή ένα Gmail που χρησιμοποιείται μια φορά. Στη συνέχεια θέτουν το display name σε "Karen Vasquez, CFO" ώστε το inbox σας να δείχνει ένα γνώριμο ανθρώπινο όνομα με έντονη γραφή. Η πραγματική διεύθυνση From μπορεί να είναι karen.vasquez.finance@gmail.com, αλλά δεν βλέπετε αυτό· βλέπετε "Karen Vasquez." Και κρίσιμα, θέτουν το Reply-To σε μια διεύθυνση που ελέγχουν.

Έτσι διαβάζετε το email. Είναι σύντομο, λογικό, λίγο επείγον. "Είστε στο γραφείο σας; Χρειάζομαι να επεξεργαστείτε μια μεταφορά χρημάτων πριν κλείσει η τράπεζα." Πατάτε reply. Ο email client σας, ώστε να είναι χρήσιμος, απευθύνει την απάντησή σας στο Reply-To — όχι στο From. Τώρα μιλάτε με τον επιτιθέμενο, και κάθε μήνυμα που στέλνετε επιβεβαιώνει ότι χτυπήσατε τη δολωσιά.

Η κλίμακα εδώ δεν είναι σφάλμα στρογγυλοποίησης. Το Internet Crime Complaint Center του FBI κατέγραψε $2.9 billion σε αναφερθέντες BEC απώλειες μόνο το 2023, σε περισσότερες από 21,000 παράπονα. Αυτό είναι ο αναφερθέν αριθμός, από ανθρώπους που παρατήρησαν και υπέβαλαν έκθεση. Ο πραγματικός αριθμός είναι μεγαλύτερος, επειδή μια μεταφορά χρημάτων που εκκαθαρίζεται φαίνεται σαν μια κανονική Τρίτη μέχρι το συμψηφισμό.

Αυτό που κάνει αυτό τρελό είναι το ότι η άμυνα είναι εκεί και κρυμμένη. Κάθε mail client γνωρίζει την τιμή Reply-To. Σχεδόν κανένα δεν την επιφέρει. Το Gmail συμπτύσσει τον αποστολέα σε ένα display name και ένα μικροσκοπικό caret που πρέπει να κάνετε κλικ. Το Outlook θάβει τις πραγματικές διευθύνσεις κάτω από "View source" ή ένα dialog ιδιοτήτων που σχεδόν κανείς δεν έχει ποτέ ανοίξει. Το ένα πεδίο που αποκαλύπτει την απάτη είναι το ένα πεδίο που η διεπαφή αντιμετωπίζει ως σκουπίδια.

Έτσι εξασκήστε τη συνήθεια. Πριν απαντήσετε σε οτιδήποτε που αφορά χρήματα, αλλαγμένες τραπεζικές λεπτομέρειες ή επείγοντα, αναπτύξτε την κεφαλίδα. Στο Gmail, κάνετε κλικ στο κάτω βέλος δίπλα στο όνομα του αποστολέα και διαβάστε την πραγματική γραμμή "reply-to". Εάν το From λέει κάτι και το Reply-To δείχνει σε ένα διαφορετικό mailbox, σταματήστε. Εκείνη η αναντιστοιχία είναι σπάνια αθώα σε ένα email χρηματοδότησης.

Ακόμα καλύτερα, μη απαντήσετε καθόλου. Ξεκινήστε ένα φρέσκο μήνυμα στη διεύθυνση που έχετε ήδη αποθηκευμένη για εκείνο το άτομο, ή πάρτε το τηλέφωνο και καλέστε έναν αριθμό που δεν πήρατε από το email. Οι επιτιθέμενοι βασίζονται στο ότι θα μείνετε μέσα στο thread που χτίσανε.

Η ζοφερή κομψότητα αυτής της απάτης είναι ότι περνάει κάθε αυτοματοποιημένο έλεγχο χωρίς να σπάει κανένα κανόνα. Η διεύθυνση From είναι τεχνικά πραγματική. Το domain αυθεντικοποιείται καλά. Τίποτα δεν είναι πλαστογραφημένο. Το ψέμα δεν είναι στην υποδομή — είναι στη γραμμή που το λογισμικό σας αποφάσισε ότι δεν χρειάζεστε να δείτε.