Gmail lukee kuittiasi ennen kuin sinä, ja huijarit tietävät sen

Tuo siisti kortti inboxin yläosassa, joka näyttää, että Amazon-tilauksesi saapuu torstaina, ei syntynyt tekoälystä, joka lukisi ajatuksiasi. Gmail löysi schema.org-merkkausta olevan HTML-lohkon, jonka lähettäjä oli piilottanut sähköpostiin, tulkitsi sen ja piirsi kortin sinulle. Tämä tarkoittaa, että huijari, joka liittää saman merkkausta sisältävän koodin, voi tehdä väärästä tilauksesta näyttävän yhtä vahvistetulta kuin oikea tilaus.

Kuinka Gmail tietää, että paketti on tulossa ennen kuin luet sähköpostia?

Lähettäjä kertoo sen koneluettavaksi kielellä, jota Gmail pyytää puhumaan. Googlen kehittäjädokumentaatio sähköpostin merkkauksesta on selkeä: vähittäiskauppiaat ja lentoyhtiöt upottavat strukturoidut tiedot käyttäen schema.org-sanastoa JSON-LD- tai microdata-muodossa viestin HTML:n sisälle. Tilausvahvistuksessa on Order-objekti kenttineen kuten orderNumber, orderStatus sekä sisäkkäinen ParcelDelivery expectedArrivalUntil-kentällä ja seurantaosoitteella. Lentotiedoissa on FlightReservation, jossa on lähtölentokenttä, laituri ja boardaussaika.

Gmainin jäsennin lukee nämä kentät ja esittää ne korostuksina inboxin yläosassa ja viestin sisällä. Mikään tekoäly ei "ymmärrä" matkasuunnitelmiasi. Se lukee merkittyjä tietoja samalla tavalla kuin selain lukee osoitekenttää. Älykkyys on lähes kokonaan lähettäjän HTML:ssä, ei Googlen mustassa laatikossa.

Miksi se tekee väärät tilaukset vakuuttavammiksi eikä vähemmän vakuuttaviksi?

Koska merkkausta on vain teksti, ja teksti kopioituu. Ei ole kryptografista yhteyttä väitteen "tämä kortti sanoo, että tilauksesi on lähtenyt" ja "tämä tilaus on oikea" välillä. Googlen skeeman rekisteröintiprosessi tarkistaa lähettäjän volyymin ja muotoilun ennen kuin se ottaa rikkaat kortit käyttöön laajemmassa mittakaavassa, mutta taustalla oleva JSON-LD istuu avoimesti näkyvillä jokaisessa legitiimissä vahvistuksessa, jonka olet koskaan vastaanottanut. Avaa yksi, katso lähde, ja siellä se on.

Huijari kaapii sen lohkon, vaihtaa sisälle oman seurantaosoitteen ja väärän tilausnumeron sekä lähettää sen. Jos viesti selviää todennuksesta, Gmail voi mielellään piirtää kauniin "saapuu pian" -kortin sähköpostin päälle, joka on puhdasta kalasteluansa. Visuaalinen luottamus, jonka olet rakentanut sata todellista toimitusta yli, lainataan ilmaiseksi. Kortti näyttää viralliselta, koska muoto on virallinen. Sisältö on mitä tahansa, minkä lähettäjä kirjoitti.

Mikä todella erottaa oikean vahvistuksen väärrennetystä?

Ei kortti. Todennusotsakkeistot sen alla. Kolme tarkistusta päättävät, ovatko lähettäjä se, kuka väittää olevansa: SPF vahvistaa, että lähetyspalvelin on valtuutettu verkkotunnukselle, DKIM on kryptografinen allekirjoitus viestin runkoon, ja DMARC kertoo vastaanottajille, mitä tehdä kun SPF tai DKIM epäonnistuu. Google ja Yahoo tekivät tämän pakolliseksi kaikille, jotka lähettävät yli 5 000 viestiä päivässä heidän käyttäjilleen alkaen helmikuusta 2024. Joukkouutislähetyksen lähettäjät ilman kelvollista DMARC:ia hylätään tai lähetetään roskapostikansioon.

Se on kerros, johon kannattaa luottaa, ja se on kerros, jota kortti ei näytä sinulle. Gmailissa avaa viesti, klikkaa kolmen pisteen valikkoa, valitse "Näytä alkuperäinen" ja etsi PASS SPF-, DKIM- ja DMARC-kohdista. Väärennety "tilaus lähtenyt" -sähköposti, joka tekee verkkotunnusväärentöjä todellisen jälleenmyyjän kanssa, epäonnistuu yleensä DKIM-kohdassa tai tulee verkkotunnuksesta, joka ei ole linjassa. Kaunis kortti ei voi valehella toimituspäivistä; otsakkeistot eivät voi valehella siitä, kuka sen lähetti. Työkalut, jotka lukevat nämä otsakkeistot puolestasi, mukaan lukien huijausten merkinnät tekoäly-sähköpostissa kuten xmail, tarkistavat saman asian, vain nopeammin kuin tekisit sen käsin.

Mitä sinun pitäisi tehdä, kun yllätyspakettikortti ilmestyy?

Luota seurantaan, jonka aloitit, eivät seurantaan, joka saapui ilmoittamatta. Jos kortti väittää toimituksesta, jonka et muista tilanneesi, älä napauta sen linkkiä. Seurantaosoite väärennellyn merkkaukseen sisällä on koko huijauksen pointti, usein johtaen "maksa tämä tuontimaksu" tai "vahvista osoitteesi" -sivulle, joka kerää korttitiedot. U.S. Postal Inspection Service ja FTC ovat molemmat varoittaneet toistuvasti väärennettävistä toimitusteksteistä ja sähköposteista, jotka tekevät juuri tätä.

Sen sijaan mene jälleenmyyjän tai kuljettajan suoraan, kirjoita osoite itse ja liitä seurantanumero sinne. Jos tilausta ei ole oikeasssa tilissäsi, kortti oli teatteria. Ja jos haluat merkin ennen kuin edes klikkaat: aito lähetyssähköposti tulee lähes aina verkkotunnuksesta, jonka kanssa olet käyneet kauppaa, ja läpäisee DMARC:n. Väärennelty lähetetään usein samantapaiselta verkkotunnukselta, joka epäonnistuu kohdistuksessa, ja kortti istuu sen päällä kuin lainattu univormu.

@@BODY_END@@