Gmail lee tus recibos antes que tú, y los estafadores lo saben

Esa tarjeta ordenada en la parte superior de tu bandeja de entrada que muestra que tu pedido de Amazon llegará el jueves no fue conjurada por una IA leyendo tu mente. Gmail encontró un bloque de marcado schema.org que el remitente enterró en el HTML del correo, lo analizó, y dibujó la tarjeta para ti. Lo que significa que un estafador que pegue el mismo marcado puede hacer que un pedido falso se vea exactamente tan confirmado como uno real.

¿Cómo sabe Gmail que un paquete está en camino antes de que leas el correo?

El remitente se lo dice, en un lenguaje legible por máquinas que Gmail le pide que hable. Los documentos de desarrollador de Google para marcado de correo son explícitos: los minoristas y aerolíneas integran datos estructurados usando el vocabulario schema.org, ya sea como JSON-LD o microdata, dentro del HTML del mensaje. Una confirmación de pedido incluye un objeto Order con campos como orderNumber, orderStatus, y un ParcelDelivery anidado con expectedArrivalUntil y una URL de rastreo. Un vuelo incluye un FlightReservation con el aeropuerto de salida, la puerta, la hora de abordaje.

El analizador de Gmail lee esos campos y los representa como destacados en la parte superior de la bandeja de entrada y dentro del mensaje. Ninguna IA está "entendiendo" tus planes de viaje. Está leyendo datos etiquetados de la manera en que un navegador lee un campo de dirección. La inteligencia está casi enteramente en el HTML del remitente, no en la caja negra de Google.

¿Por qué eso hace que los pedidos falsos sean más convincentes, no menos?

Porque el marcado es solo texto, y el texto se copia. No hay un vínculo criptográfico entre "esta tarjeta dice que tu pedido se envió" y "este pedido es real". El proceso de registro de esquema de Google verifica el volumen y el formato del remitente antes de habilitar tarjetas enriquecidas a escala, pero el JSON-LD subyacente está a la vista en cada confirmación legítima que hayas recibido. Abre una, ve el código fuente, y ahí está.

Un estafador raspa ese bloque, cambia la URL de rastreo por la suya y un número de pedido falso, y lo envía. Si el mensaje pasa la autenticación, Gmail puede dibujar felizmente una tarjeta pulida "llegando pronto" encima de un correo que es puro cebo. La confianza visual que has construido durante cien entregas reales se toma prestada sin costo. La tarjeta se ve oficial porque el formato es oficial. El contenido es lo que el remitente escribió.

¿Qué realmente separa una confirmación real de una falsificada?

No la tarjeta. Los encabezados de autenticación debajo de ella. Tres verificaciones deciden si un remitente es quien dice ser: SPF confirma que el servidor de envío está autorizado para el dominio, DKIM es una firma criptográfica en el cuerpo del mensaje, y DMARC le dice a los receptores qué hacer cuando SPF o DKIM fallan. Google y Yahoo hicieron esto obligatorio para cualquiera que envíe más de 5.000 mensajes al día a sus usuarios a partir de febrero de 2024. Los remitentes en masa sin DMARC válido se rechazan o se envían al correo no deseado.

Ese es el nivel en el que vale la pena confiar, y es el que ninguna tarjeta te muestra. En Gmail, abre el mensaje, presiona el menú de tres puntos, elige "Mostrar original", y busca PASS en SPF, DKIM y DMARC. Un correo falsificado "pedido enviado" que suplanta a un minorista real generalmente fallará DKIM o vendrá de un dominio que no se alinea. La tarjeta bonita no puede mentir sobre fechas de entrega; los encabezados no pueden mentir sobre quién lo envió. Las herramientas que leen esos encabezados por ti, incluyendo la detección de estafas en correos electrónicos de IA como xmail, están verificando lo mismo, solo más rápido de lo que lo harías a mano.

¿Qué debes hacer cuando aparece una tarjeta de paquete sorpresa?

Confía en el rastreo que iniciaste, no en el rastreo que llegó sin avisar. Si una tarjeta dice que se entrega algo que no recuerdas haber ordenado, no toques su enlace. La URL de rastreo dentro del marcado falsificado es todo el punto de la estafa, a menudo llevando a una página "paga esta tarifa de aduana" o "confirma tu dirección" que recopila detalles de la tarjeta. El Servicio de Inspección Postal de EE.UU. y la FTC han advertido repetidamente sobre textos y correos de entrega falsos haciendo exactamente esto.

En su lugar, ve al minorista o transportista directamente, escribe la dirección tú mismo, y pega el número de rastreo allí. Si el pedido no existe en tu cuenta real, la tarjeta fue teatro. Y si quieres una pista antes de que ni siquiera hagas clic: un correo de envío genuino casi siempre viene de un dominio con el que has transaccionado y pasa DMARC. Uno falsificado frecuentemente se envía desde un dominio parecido que falla en la alineación, con una tarjeta encima como un uniforme prestado.

@@END@@