Το Antivirus Σας Δεν Είχε Καμία Ευκαιρία Απέναντι σε ένα Κενό Email

Μια υπάλληλος μισθοδοσίας σε μια μεσαία εταιρεία λαμβάνει ένα email από τον CEO. Χωρίς συνημμένο. Χωρίς σύνδεσμο. Απλώς πέντε γραμμές που ζητούν να κάνει ένα επείγον wire σε έναν νέο προμηθευτή πριν από το μεσημέρι, και παρακαλώ κρατήστε το κρυφό, κλείνουμε την εξαγορά. Κάνει wire 180.000 δολάρια. Ο CEO δεν το έστειλε ποτέ. Και κάθε λογισμικό ασφαλείας που η εταιρεία πλήρωσε είδε ακριβώς τίποτα λάθος, επειδή δεν υπήρχε τίποτα να δει.

Αυτό είναι business email compromise, και είναι το πιο ακριβό έγκλημα στο inbox σας με μεγάλη διαφορά. Το Internet Crime Complaint Center του FBI καταγράφησε 2,9 δισεκατομμύρια δολάρια σε αναφερόμενες απώλειες BEC μόνο το 2023. Το ransomware, το πράγμα που όλοι φοβούνται, το πράγμα με τα γραφικά κρανίου και τους μετρητές αντίστροφης μέτρησης; Κατέγραψε περίπου 59,6 εκατομμύρια δολάρια σε αναφερόμενες απώλειες το ίδιο έτος. Το BEC το ξεπερνά κατά συντελεστή σχεδόν πενήντα. Ένα από αυτά κάνει τα πρωτοσέλιδα. Το άλλο παίρνει τα χρήματά σας.

Ο λόγος που το antivirus αποτυγχάνει εδώ είναι σχεδόν αμήχανος. Οι σαρωτές malware λειτουργούν εξετάζοντας κώδικα — ένα συνημμένο, ένα εκτελέσιμο, ένα macro θαμμένο σε ένα υπολογιστικό φύλλο. Τον συγκρίνουν με γνωστές κακές υπογραφές ή τον παρακολουθούν να συμπεριφέρεται σε ένα sandbox. Ένα BEC email τους παραδίδει μια σημείωση απλού κειμένου γραμμένη με τον τόνο του αφεντικού σας. Δεν υπάρχει payload να εκραγεί. Το όπλο είναι μια πρόταση.

Αυτό σημαίνει ότι η άμυνα δεν μπορεί να είναι ένας σαρωτής. Πρέπει να είναι μια συνήθεια, και η συνήθεια ζει στις κεφαλίδες.

Εδώ είναι το σημάδι που τα περισσότερα άτομα δεν κοιτάζουν ποτέ. Το πεδίο From και το πεδίο Reply-To είναι δύο διαφορετικά πράγματα, και οι scammers εκμεταλλεύονται το κενό. Η γραμμή From δείχνει ένα όνομα και μια διεύθυνση που εμπιστεύεστε — ceo@yourcompany.com, ορθογραφημένο σωστά. Αλλά τη στιγμή που χτυπάτε reply, το μήνυμα ήσυχα δρομολογείται σε ceo.finance@gmail-secure-mail.com ή κάποιο throwaway domain που ο επιτιθέμενος ελέγχει πραγματικά. Η απάντησή σας, με την επιβεβαίωση του wire, πηγαίνει κατευθείαν στον κλέφτη. Το όνομα εμφάνισης έψευσε. Το Reply-To είπε την αλήθεια.

Συνεπώς εκπαιδεύστε τον εαυτό σας να επεκτείνει την κεφαλίδα πριν ενεργήσετε σε οποιαδήποτε αίτηση χρημάτων. Στο Gmail, κάντε κλικ στο μικρό βέλος κάτω από το όνομα του αποστολέα. Στο Outlook, ανοίξτε λεπτομέρειες μηνύματος. Εάν το Reply-To δεν ταιριάζει με το From, σταματήστε. Εάν το domain είναι ένας χαρακτήρας — rn που προσποιείται m, ένα .co όπου αναμένατε .com — σταματήστε.

Η πιο εξελιγμένη έκδοση δεν ενοχλείται καν να κάνει spoofing το δικό σας domain. Υποδύεται έναν πραγματικό προμηθευτή που πληρώνετε ήδη. Ο επιτιθέμενος κάθεται σε ένα ακρωτηριασμένο λογαριασμό προμηθευτή για εβδομάδες, διαβάζει τον πραγματικό σύνδεσμο τιμολογίου, στη συνέχεια στέλνει στο τέλειο moment: "Ενημερώσαμε τις τραπεζικές λεπτομέρειές μας, χρησιμοποιήστε τον νέο λογαριασμό." Αυτή η παραλλαγή είναι σκληρή ακριβώς επειδή το email είναι αυθεντικό — προέρχεται από το πραγματικό, παραβιασμένο inbox του προμηθευτή. SPF, DKIM και DMARC περνούν όλα καθαρά, επειδή το μήνυμα πραγματικά προέρχεται από όπου ισχυρίζεται. Η πιστοποίηση επιβεβαιώνει τον αποστολέα. Δεν μπορεί να επιβεβαιώσει την ειλικρίνεια του αποστολέα.

Αυτή είναι η δυσάρεστη αλήθεια κάτω από όλα αυτά: ολόκληρη η απάτη τρέχει στην εμπιστοσύνη και τη βιασύνη, δύο πράγματα που καμία υπογραφή database δεν μπορεί να μετρήσει. Ένας CEO που «δεν χρησιμοποιεί ποτέ email με αυτόν τον τρόπο» ξαφνικά κάνει. Ένας προμηθευτής που σας έχει τιμολογήσει με τον ίδιο τρόπο για τρία χρόνια ξαφνικά αλλάζει λογαριασμούς. Το αίτημα φτάνει πάντα με λόγο που δεν μπορείτε να επαληθεύσετε μέχρι το μεσημέρι.

Επομένως επαληθεύστε μέσω ενός άλλου καναλιού. Καλέστε το νούμερο που έχετε ήδη — όχι αυτό στο email. Ένα δέκα δευτερολέπτων τηλεφωνικό κλήση έχει αναιρέσει έξι ψηφίων wires πιο αξιόπιστα από οποιοδήποτε προϊόν με firewall στο όνομά του. Οι scammers στοιχηματίζουν ότι δεν θα σηκώσετε το τηλέφωνο. Αποδείξτε τους λάθος.

@@END@@