صورتحسابی جعلی که تمام آزمایشات اسپم را پاس کرد

یک فروشنده‌ای که دستکم دوازده بار از او خرید کرده‌اید، صورتحسابی جدید می‌فرستد. همان لوگو، همان مدیر حساب، همان امضای مؤدبانه. تنها تفاوت یک خطی است که در هدر ایمیل پنهان شده است — و این خط دقیقاً پرداخت ۴۸,۰۰۰ دلاری شما را به یک فرد غریبه در کشور دیگری منحرف کرده است.

این همان بخشی از کلاهبرداری ایمیل است که هیچکس هشدار نمی‌دهد: صورتحسابهای خطرناک آن‌هایی نیستند که بی‌دقتی انجام شده‌اند. آن‌هایی هستند که تمیز و منظم هستند. یک کلاهبردار که وارد حساب ایمیل یک شرکت واقعی می‌شود، نیازی به جعل کردن هیچ چیزی ندارد. ایمیل از دامنه واقعی ارسال می‌شود، با کلیدهای واقعی امضا شده است. SPF تایید می‌شود. DKIM تایید می‌شود. DMARC تایید می‌شود. فیلتر اسپم شما بی‌تفاوت است و آن را رد می‌کند، زیرا از نظر ریاضیاتی، این ایمیل معتبر است. درست است. فقط از سوی انسان غلطی ارسال شده است.

به همین دلیل است که کمپرومیز ایمیل تجاری پرهزینه‌ترین کلاهبرداری است، و حتی نزدیک هم نیست. مرکز شکایات جرائم اینترنتی FBI تقریباً ۲٫۹ میلیارد دلار تلفات BEC را تنها در سال ۲۰۲۳ ثبت کرد — انتقال‌های سیمی که براساس یک ایمیل که از نظر تمام معیارهای خودکار کاملاً معتبر به نظر می‌رسید، انجام شدند. هیچ بدافزاری نیست. هیچ پیوند مریبی نیست. فقط یک درخواست قابل اعتماد برای به‌روزرسانی جزئیات پرداخت، که از یک صندوق دریافتی ارسال شده است که آرام‌آرام هک شده بود.

پس اگر نمره اسپم شما را نجات نخواهد داد، چه چیزی می‌دهد؟

دو خط هدر که می‌توانید در کمتر از یک دقیقه بخوانید: Reply-To و Return-Path.

تفاوت به زبان ساده است. آدرس From همانی است که روی جلوی پاکت می‌بینید. Return-Path جایی است که پیام‌های برگشتی می‌روند اگر تحویل ناموفق باشد — «فرستنده» فنی که سرور دریافت‌کننده واقعاً به آن اهمیت می‌دهد. و Reply-To آدرسی است که پاسخ شما آرام‌آرام به آن ارسال می‌شود وقتی دکمه را فشار می‌دهید. همان‌طور که DMARC.org توضیح می‌دهد، این‌ها می‌توانند به طور قانونی متفاوت باشند، که دقیقاً همان چیزی است که آن‌ها را به عنوان یک نشانه مفید می‌کند. در ایمیل‌های صادقانه از فروشنده، این سه آدرس معمولاً زیر یک دامنه قرار می‌گیرند. در کلاهبرداری حساب هک‌شده، مهاجم اغلب From را به حال خود می‌گذارد — باید واقعی به نظر بیاید — اما Reply-To را به جایی دیگر منتقل می‌کند. accounts@yourvendor.com روی جلو، accounts.yourvendor@gmail.com برای پاسخ. دامنه متفاوت. گاهی تنها با یک حرف فاصله داشته باشد.

مهاجم این کار را به دلیل ساده‌ای انجام می‌دهد. آن‌ها شاید اکنون صندوق دریافتی کمپرومیز‌شده را کنترل کنند، اما نمی‌خواهند پاسخ شما به صندوق دریافتی مالک واقعی برگردد، جایی که کارمند واقعی ممکن است متوجه صورتحسابی شود که هرگز ارسال نکرده است. بنابراین آن‌ها مکالمه را به آدرسی منتقل می‌کنند که کاملاً کنترل می‌کنند. این تغییر مسیر فیس انگشتی است.

یافتن آن حدود ۲۰ ثانیه طول می‌کشد. در Outlook، پیام را باز کنید و از File → Properties برای دیدن هدرهای اینترنتی استفاده کنید؛ Microsoft فرمت هدر کامل را مستند کرده است اگر بخواهید هر خطی را بخوانید. در Gmail، بر روی منوی سه نقطه کلیک کنید و Show original را انتخاب کنید. Reply-To: و Return-Path: را جستجو کنید. اگر یکی از آن‌ها به دامنه‌ای نشان می‌دهد که فرستنده نیست — یا به حساب رایگان وب هنگام انتظار یک حساب شرکتی — متوقف شوید. به این ایمیل پاسخ ندهید. فروشنده را با شماره‌ای تماس بگیرید که قبلاً داشتید، نه یکی که در پیام چاپ شده است.

هیچ‌کدام از این‌ها نیازی به تخصص فنی ندارد. نیاز به شک و تردید به دقیقاً ایمیل‌هایی دارد که هیچ هشدار را برنمی‌انگیزند. یک علامت سبز از فیلتر شما بدان معناست که پیام جعلی نبوده است. هیچ چیزی درباره اینکه چه کسی کلیدهای حسابی را در دست دارد که آن را ارسال کرد، نمی‌گوید.

کلاهبرداری‌هایی که حساب‌ها را در ۲۰۲۴ خالی می‌کنند، شبیه کلاهبرداری نیستند. شبیه سه‌شنبه هستند. هدر جایی است که دروغ هنوز هم باید زندگی کند.