رئیس شما این ایمیل را ارسال نکرد. یک هوش مصنوعی که روی آخرین سه پاسخ او آموزش دیده بود، ارسال کرد.

علامت قدیمی برای تشخیص ایمیل جعلی از رئیس، دستور زبان ضعیف و سلام غریب بود. این علامت از بین رفته است. ابزارهای تولیدی اکنون یک رشته ایمیل خراش‌شده را جذب می‌کنند و دقیقاً وتیره، نقطه‌گذاری و امضای همکار را تقلید می‌کنند، به همین دلیل است که سوء استفاده از ایمیل تجاری هنوز هم شرکت‌ها را تخلیه می‌کند — مرکز شکایات جرائم اینترنتی FBI تنها در سال 2023 تلفات BEC را 2.9 میلیارد دلار ثبت کرد. تنها دفاع قابل اعتماد باقی‌مانده انتقال گفت‌وگو به یک کانال متفاوت قبل از اقدام است.

چرا نمی‌توانم به ایمیلی که دقیقاً مثل رئیس‌ام به نظر می‌رسد اعتماد کنم؟

چون "صدایش مثل او" اکنون ساده‌ترین بخش برای تقلید است. BEC سابق به یک آدرس هک‌شده یا شبیه‌سازی‌شده همراه با متن ناشیانه تکیه می‌کرد؛ عبارت‌بندی عجیب و غریب علامت افشاگری بود. یک مدل زبان بزرگ را سه پاسخ واقعی از کسی بدهید و آن دقیقاً وتیره آن‌ها را تطابق می‌دهد — روشی که آن‌ها با "سلام" شروع می‌کنند، وقتی شتاب دارند نقطه‌گذاری را رها می‌کنند، فقط با یک حرف اول امضا می‌کنند. مهاجمان آن پاسخ‌ها را از یک صندوق پستی سازش‌یافته، یک رشته فوروارد‌شده، یا یک زنجیره پاسخ-همه‌ای که خارج از شرکت نشت شده است، دریافت می‌کنند.

گزارش تحقیقات نقض داده Verizon در سال 2024 عنصر انسانی را در تقریباً 68% از نقض‌ها یافت، با مهندسی اجتماعی و جعل‌کاری یک الگوی غالب. سبک دیگر شاهدی نیست. شخصی که مثل CFO شما می‌نویسد می‌تواند یک مدل باشد که روی پانزده دقیقه از صندوق پستی CFO شما آموزش دیده باشد.

یکی از این جعل‌های بهبود‌یافته واقعاً چه شکلی دارد؟

شبیه یک درخواست کوتاه، قابل‌قبول، کمی فوری است که با یک گفت‌وگوی واقعی در حال پیشرفت مطابقت دارد. حرکت کلاسیک: یک پاسخ در یک رشته موجود درباره پرداخت فروشنده، با دستورالعمل‌های سیم جدید و یک خط مثل "بانک حساب قدیم را پرچم‌گذاری کرد، از این استفاده کنید." بدون اشتباه تایپی، نام‌های پروژه صحیح، آداب وسخن واقعی رئیس‌ام.

عنعنه فنی این است که نام نمایشی می‌تواند به‌طور کامل خوانده شود در حالی که دامنه ارسال‌کننده با یک کاراکتر خاموش است — @company-invoices.com به جای @company.com — یا Reply-To آرام به جای دیگری اشاره می‌کند. احراز هویت اینجا کمک می‌کند: پیامی که در تراز SPF، DKIM، یا DMARC ناموفق است بدون توجه به اینکه چقدر انسانی به نظر برسد، مشکوک است. ابزارهای ایمیل هوش مصنوعی، از جمله جعل و کلاهبرداری فاکتور صورت‌حساب ساخته‌شده در ایمیل هوش مصنوعی با جعل جعل، این سرصحفه‌ها را به‌طور خودکار بررسی می‌کنند، زیرا شخصی که روی تلفن خود یک نگاه سریع می‌کند هرگز نمی‌کند.

پس چگونه می‌توانم یک درخواست را تأیید کنم که نمی‌توانم به صورت آن اعتماد کنم؟

کانال را تغییر دهید و از طریق یکی که از قبل می‌شناسید تأیید کنید، نه یکی که ایمیل به شما داد. اگر ایمیل پول یا اعتبارات را درخواست کرد، شماره‌ای را از مخاطبین یا دایرالمعارف شرکت‌تان تماس بگیرید — هرگز شماره امضا نباشید. به میز آن‌ها بروید. از طریق ابزار چت داخلی آن‌ها به آن‌ها پیام دهید. کل کلاهبرداری به شما ماندن در ایمیل بستگی دارد، جایی که مهاجم هر دو طرف را کنترل می‌کند.

آن را به یک قانون، نه یک حکم تبدیل کنید. هر تغییر پرداخت، هر سیم، هر جزئیات بانکی جدید تأیید دو کانال دریافت می‌کند، نقطه پایانی — IC3 مسیر به‌طور مداوم دقیقاً این تأیید شفاهی برای BEC توصیه می‌کند. قوانین یک سه‌شنبه عصر پرشلوغ را زنده می‌مانند؛ غریزه نه. و رفتار یک سبک نوشتاری متقاعد‌کننده به‌عنوان اثباتی از چیزی متوقف کنید. یک چیزی که یک مدل آموزش‌یافته روی پاسخ‌های خراش‌شده نمی‌تواند جعل کند، رئیس‌تان است که تلفن را برداشته و بگوید او هرگز آن را ارسال نکرده است.