Sähköpostiotsikko, joka lähettää vastauksesi suoraan varastalle

Tässä on huijaus, joka maksaa amerikkalaisille yrityksille enemmän rahaa kuin kiristysohjelmistot, haittaohjelmat ja tietoturvarikkomukset yhteensä – eikä se yleensä sisällä lainkaan haittaohjelmistoja. Ei pahaa linkkiä. Ei saastunutta liitettä. Ei mitään, jota antivirus voisi kiinni ottaa. Vain sähköposti, joka näyttää tulevan talousjohtajaltasi, ja vastaus, joka hiljaa menee jonnekin muualle.

Se jonnekin muualle on temppu. Ja se piiloutuu otsikkokenttään, jota lähes mikään sähköpostisovellus ei näytä sinulle.

Kenttää kutsutaan Reply-To:ksi. Se on kuulunut internet-postin standardiin alusta asti – RFC 5322 määrittelee sen osoitteeksi, johon vastaukset "pitäisi" lähettää, erillään From-osoitteesta. Lailliseen käyttöön se on tylsä ja hyödyllinen. Uutiskirje lähetetään osoitteesta noreply@company.com, mutta Reply-To asetetaan osoitteeseen support@company.com, jotta kysymyksesi päätyy ihmiselle. Siinä se. Se on rehellinen tehtävä.

Liiketoimintasähköpostien kompromissi muuttaa tuon mukavuuden aseeeksi. Sen sijaan, että tekisivät vaivalloisen teknisen työn From-osoitteen väärennökseen – mikä laukaisee SPF-, DKIM- ja DMARC-hälytykset ja merkitään – hyökkääjä vain rekisteröi samantapaisen verkkotunnuksen tai kertakäyttöisen Gmailia. Sitten he asettavat näyttönimen "Karen Vasquez, CFO" niin että postilaatikkosi näyttää tuttua ihmisen nimeä lihavoituna. Todellinen From-osoite voi olla karen.vasquez.finance@gmail.com, mutta et näe sitä; näet "Karen Vasquez". Ja ratkaisevasti, he asettavat Reply-To:n osoitteeseen, jota he hallitsevat.

Joten luet sähköpostin. Se on lyhyt, uskottava, hieman kiireellinen. "Oletko paikallasi? Minun täytyy käsitellä siirto ennen kuin pankki sulkeutuu." Klikkaat Reply. Asiakkaasi, ollakseen hyödyllinen, osoittaa vastauksesi Reply-To:lle – ei From:ille. Keskustelet nyt hyökkääjän kanssa, ja jokainen viesti, jonka lähetät, vahvistaa, että jäit unssiin.

Mittakaava tässä ei ole pyöristysvirhe. FBI:n Internet Crime Complaint Center kirjasi 2,9 miljardia dollaria ilmoitettuja BEC-tappioita pelkästään vuonna 2023 yli 21 000 valituksesta. Se on ilmoitettu luku niiltä ihmisiltä, jotka huomasivat ja jättivät valituksen. Todellinen luku on suurempi, koska siirto, joka selviää, näyttää normaalilta tiistailta, kunnes täsmäytys.

Mikä tekee tästä järkyttävää, on että puolustus on aivan siellä ja piilotettu. Jokainen sähköpostisovellus tietää Reply-To-arvon. Lähes mikään ei paljasta sitä. Gmail tiivistää lähettäjän näyttönimeen ja pieneen kertoimeen, jota sinun täytyy klikata. Outlook piilottaa todelliset osoitteet "View source" -kohtaan tai ominaisuudet-valintaikkunaan, jonka useimmat ihmiset eivät ole koskaan avanneet. Se yksi kenttä, joka paljastaa petoksen, on se yksi kenttä, jota käyttöliittymä käsittelee roskauksena.

Joten harjoittele tottumusta. Ennen kuin vastaat mihinkään, jossa on rahaa, muuttuneita pankkitietoja tai kiireellisyyttä, laajenna otsikko. Gmailissa klikkaa nuolia lähettäjän nimen vieressä ja lue todellinen "reply-to"-rivi. Jos From sanoo yhden asian ja Reply-To osoittaa eri postilaatikkoon, pysähdy. Tämä ristiriita on harvoin vilpitön rahoitussähköpostissa.

Vielä paremmin, älä vastaa ollenkaan. Aloita uusi viesti osoitteeseen, jonka olet jo tallentanut kyseiselle henkilölle, tai soita puhelinnumeroon, jota et saanut sähköpostista. Hyökkääjät luottavat siihen, että pysyt heidän rakentamassaan ketjussa.

Tämän petoksen synkkä eleganssi on, että se läpäisee jokaisen automatisoidun tarkistuksen rikkomatta sääntöjä. From-osoite on teknisesti todellinen. Verkkotunnus todennetaan hyvin. Mitään ei väärennä. Valhe ei ole putkistossa – se on siinä yhdessä rivissä, jonka ohjelmistosi päätti, että et tarvitse nähdä.