جیمیل رسیدهای شما را قبل از اینکه شما بخوانید می‌خواند، و کلاهبرداران این را می‌دانند

آن کارت منظمی که در بالای صندوق ورودی شما نشان می‌دهد سفارش آمازون شما پنج‌شنبه می‌رسد، ساخت فکری یک هوش مصنوعی نیست که ذهن شما را می‌خواند. جیمیل بلوکی از نشانه‌گذاری schema.org را یافت که فرستنده در HTML ایمیل پنهان کرده بود، آن را تجزیه کرد، و کارت را برای شما کشید. که به این معنی است یک کلاهبردار که همان نشانه‌گذاری را می‌چسباند می‌تواند یک سفارش جعلی را دقیقاً به‌اندازه یک سفارش واقعی تأیید شده نشان دهد.

جیمیل چطور می‌داند که یک بسته قبل از اینکه شما ایمیل را بخوانید در راه است؟

فرستنده به آن می‌گوید، به زبانی ماشین‌قابل‌خوانش که جیمیل از آن می‌خواهد استفاده کند. اسناد توسعه‌دهندگی گوگل برای نشانه‌گذاری ایمیل صریح هستند: فروشندگان و خطوط هوایی داده‌های ساختار‌یافته را با استفاده از واژگان schema.org تعبیه می‌کنند، یا به‌عنوان JSON-LD یا microdata، در داخل HTML پیام. تأیید سفارش حاوی یک شیء Order است که دارای فیلدهایی مثل orderNumber، orderStatus، و یک ParcelDelivery تودرتو با expectedArrivalUntil و یک URL ردیابی است. یک پرواز حاوی FlightReservation است که فرودگاه حرکت، دربند، و زمان سوار شدن را دارد.

تجزیه‌کننده جیمیل آن فیلدها را می‌خواند و آنها را به‌عنوان برجسته‌ها در بالای صندوق ورودی و در داخل پیام رندر می‌کند. هیچ هوش مصنوعی نیست که «درک» کند طرح سفر شما. داده‌های برچسب‌خورده را می‌خواند همانطور که مرورگر یک فیلد آدرس را می‌خواند. هوشمندی تقریباً کاملاً در HTML فرستنده است، نه در جعبه سیاه گوگل.

چرا این کاری کند سفارش‌های جعلی را متقاعد‌کننده‌تر نه کم‌متقاعد‌کننده‌تر می‌کند؟

زیرا نشانه‌گذاری فقط متن است، و متن کپی می‌شود. هیچ پیوند رمزنگاری‌شده‌ای بین «این کارت می‌گوید سفارش شما ارسال شد» و «این سفارش واقعی است» وجود ندارد. فرآیند ثبت schema گوگل حجم و قالب فرستنده را قبل از فعال‌کردن کارت‌های غنی در مقیاس بزرگ بررسی می‌کند، اما JSON-LD زیرین در هر تأیید مشروع که تا به‌حال دریافت کرده‌اید در نمای باز نشسته است. یکی را باز کنید، منبع را مشاهده کنید، و آنجا است.

یک کلاهبردار آن بلوک را خراش می‌دهد، URL ردیابی خود را و یک شماره سفارش جعلی را جایگزین می‌کند، و ارسال می‌کند. اگر پیام احراز هویت را پشت سر بگذارد، جیمیل ممکن است خوشحالی‌نگریست یک کارت صاف «به زودی می‌رسد» را بالای ایمیلی که کاملاً طعمه است رسم کند. اعتماد بصری که در صد تحویل واقعی ساخته‌اید برای رایگان قرض داده می‌شود. کارت رسمی به نظر می‌رسد زیرا **قالب** رسمی است. محتوا هر چیزی است که فرستنده تایپ کرد.

چه چیزی واقعاً یک تأیید واقعی را از یک تأیید جعلی متمایز می‌کند؟

نه کارت. سرصحت احراز هویت زیر آن. سه بررسی تصمیم می‌گیرند که آیا فرستنده کسی است که ادعا می‌کند: SPF تأیید می‌کند که سرور ارسال برای دامنه مجاز است، DKIM یک امضای رمزنگاری شده روی بدنه پیام است، و DMARC به گیرندگان می‌گوید وقتی SPF یا DKIM شکست بخورند چه کار کنند. گوگل و یاهو این را برای هر کسی که بیش از 5,000 پیام را در روز به کاربران خود ارسال می‌کند از فوریه 2024 اختیاری نکردند. فرستندگان دسته‌ای بدون DMARC معتبر رد یا نامه‌فشانی می‌شوند.

این لایه‌ای است که شایسته اعتماد است، و این لایه‌ای است که هیچ کارت برای شما نشان نمی‌دهد. در جیمیل، پیام را باز کنید، به منوی سه‌نقطه بزنید، «نمایش اصلی» را انتخاب کنید، و PASS را برای SPF، DKIM، و DMARC جستجو کنید. یک ایمیل «سفارش ارسال شد» جعلی که یک فروشنده واقعی را جعل کند معمولاً DKIM را شکست می‌دهد یا از دامنه‌ای می‌آید که تنظیم نشده است. کارت زیبا نمی‌تواند در مورد تاریخ تحویل دروغ بگوید؛ سرصحت نمی‌تواند در مورد کسی که آن را ارسال کرد دروغ بگوید. ابزارهایی که آن سرصحت را برای شما می‌خوانند، شامل پرچم‌گذاری تقلب در ایمیل هوش مصنوعی مثل xmail است، همان چیز را بررسی می‌کنند، فقط سریع‌تر از اینکه دستی انجام دهید.

وقتی یک کارت بسته تعجب‌آور نمایش داده می‌شود چه باید کنید؟

به ردیابی که شما شروع کردید اعتماد کنید، نه ردیابی که غیرمنتظره رسید. اگر یک کارت ادعا می‌کند تحویلی که یادتان نیست سفارش داده‌اید، به پیوند آن نزنید. URL ردیابی در داخل نشانه‌گذاری جعلی کل نقطه نقب است، غالباً به‌سمت صفحه‌ای «این هزینه گمرک را پرداخت کنید» یا «آدرس خود را تأیید کنید» که جزئیات کارت را جمع‌آوری می‌کند. U.S. Postal Inspection Service و FTC هر دو بارها در مورد متن‌ها و ایمیل‌های تحویل جعلی که دقیقاً این کار را انجام می‌دهند هشدار داده‌اند.

درعوض، مستقیماً به فروشنده یا حمل‌ونقل بروید، آدرس را خودتان تایپ کنید، و شماره ردیابی را آنجا بچسبانید. اگر سفارش در حساب واقعی شما وجود ندارد، کارت تئاتر بود. و اگر می‌خواهید یک علامت قبل از اینکه حتی کلیک کنید: یک ایمیل حمل‌ونقل واقعی تقریباً همیشه از دامنه‌ای می‌آید که با آن معامله کرده‌اید و DMARC را پشت سر می‌گذارد. یک ایمیل جعلی اغلب از دامنه‌ای شبیه‌سازی شده ارسال می‌شود که تنظیم را شکست می‌دهد، با یک کارت در بالا نشسته مثل یونیفرم قرض گرفته شده.