read receipts
Gmail קורא את הקבלות שלך לפני שאתה עושה זאת, וההונאים יודעים את זה
כרטיס החבילה שמופיע לפני שאתה פותח את האימייל אינו קסם. זו סימון שכל אחד יכול להעתיק.
הכרטיס המסודר בחלק העליון של תיבת הדואר שלך המציג שהזמנת Amazon תגיע ביום חמישי לא נוצר בקסם על ידי AI שקורא מחשבות. Gmail מצא בלוק של סימון schema.org שהשולח הטמין בתוך ה-HTML של האימייל, ניתח אותו, וציירו את הכרטיס בשבילך. מה שמשמעותו שהונאי שדביק את אותו סימון יכול להפוך הזמנה מזויפת לנראית בדיוק כמו שהוא מאומת כמו אחת אמיתית.
איך Gmail יודע שחבילה מגיעה לפני שאתה קורא את האימייל?
השולח אומר לו זאת, בשפה הניתנת לקריאה על ידי מכונה שגוגל מבקשת ממנו לדבר. ה-developer docs של גוגל לסימון אימייל הם מפורשים: קמעונאים וחברות תעופה משכנים נתונים מובנים תוך שימוש באוצר מילים schema.org, או כ-JSON-LD או microdata, בתוך ה-HTML של ההודעה. אישור הזמנה מגיע עם עצם Order בעלי שדות כמו orderNumber, orderStatus, ו-ParcelDelivery מקונן עם expectedArrivalUntil וכתובת ניתוב לעקוב. טיסה מגיעה עם FlightReservation עם שדה היציאה, השער, זמן ההעלאה.
ה-parser של Gmail קורא את השדות האלה ומרנדר אותם כ-highlights בחלק העליון של תיבת הדואר ובתוך ההודעה. אין AI "מבין" את תוכניות הנסיעה שלך. הוא קורא נתונים שכותרותם את אותו אופן שדפדפן קורא שדה כתובת. ההיגיון נמצא כמעט כולו בתוך ה-HTML של השולח, לא בתוך ה-black box של גוגל.
למה זה הופך הזמנות מזויפות לשכנוע יותר, לא פחות?
כי הסימון הוא רק טקסט, וטקסט מעתיק. אין חיבור קריפטוגרפי בין "הכרטיס הזה אומר שההזמנה שלך נשלחה" לבין "ההזמנה הזאת אמיתית." תהליך ההרשמה של schema של גוגל בודק את נפח השולח ותבנית לפני שהוא מאפשר כרטיסי עשירים בקנה מידה, אך ה-JSON-LD הבסיסי יושב בעיני פומביות בכל אישור אמיתי שקיבלת אי פעם. פתח אחד, הצג source, והנה הוא.
הונאי מגרד את הבלוק הזה, מחליף את קישור הניתוב שלהם ומספר הזמנה מזויף, ושולח את זה. אם ההודעה עוברת אימות, Gmail עשוי בשמחה לצייר כרטיס "הגעה בקרוב" חד ויברור מעל אימייל שהוא טהור פתיון. האמון הוויזואלי שבנית על פני מאה משלוחים אמיתיים מקבל השאול בחינם. הכרטיס נראה רשמי כי התבנית היא רשמית. התוכן הוא כל מה ששולח הקליד.
מה בעצם מפריד בין אישור אמיתי לבין אחד מזויף?
לא הכרטיס. כותרות האימות שמתחתיו. שלוש בדיקות קובעות אם שולח הוא מי שהוא טוען להיות: SPF מאשר שהשרת השולח מורשה לתחום, DKIM היא חתימה קריפטוגרפית על גוף ההודעה, ו-DMARC אומר למקבלים מה לעשות כאשר SPF או DKIM נכשלים. גוגל ו-Yahoo הפכו את זה לחובה לכל מי ששולח יותר מ-5,000 הודעות ביום למשתמשים שלהם החל בפברואר 2024. שולחי בדל ללא DMARC תקף מקבלים או אובדים דרוכים.
זו השכבה שכדאי לסמוך עליה, וזו שום כרטיס לא מציג לך. ב-Gmail, פתח את ההודעה, לחץ על תפריט שלוש הנקודות, בחר "הצג מקור," וחפש PASS על SPF, DKIM, ו-DMARC. אימייל "הזמנה נשלחה" זויף המחקה קמעונאי אמיתי בדרך כלל יכשל ב-DKIM או יבוא מתחום שלא מתיישר. הכרטיס היפה לא יכול לשקר על תאריכי משלוח; כותרות לא יכולות לשקר על מי שלח את זה. כלים שקוראים את הכותרות האלה בשבילך, כולל דגל ההונאה ב-AI email כמו xmail, בודקים את אותו הדבר, רק מהר יותר מאשר תעשה זאת ביד.
מה אתה צריך לעשות כאשר כרטיס חבילה בחינם מופיע?
תסמוך על ניתוב הניתוב שיזמת, לא על הניתוב שהגיע ללא התראה. אם כרטיס טוען משלוח שאתה לא זוכר שהזמנת, אל תגע בקישור שלו. כתובת ה-URL של ניתוב בתוך סימון מזויף היא כל הנקודה של ההונאה, לעתים קרובות המובילה ל-"שלם את דמי מכס אלה" או "אשר את הכתובת שלך" דף שמקטף פרטי כרטיס. שירות הבדיקה של דואר ארה"ב וה-FTC שניהם הזהירו שוב ושוב על טקסטים וקבצים משלוחים מזויפים שעושים בדיוק את זה.
במקום זאת, לך לקמעונאי או המוביל ישירות, הקלד את הכתובת בעצמך, והדבק את מספר הניתוב שם. אם ההזמנה לא קיימת בחשבון האמיתי שלך, הכרטיס היה תיאטרון. וכן אתה רוצה לומר לפני שאתה אפילו לוחץ: אימייל משלוח אמיתי כמעט תמיד מגיע מתחום שהעסקת איתו והעביר DMARC. אחד מזויף לעתים קרובות נשלח מתחום דומיין שנכשל בהיישור, עם כרטיס יושב על גבי כמו מדים שהושאלו.
מקורות
- Google for Developers: Email markup — schema.org structured data for orders, flights and highlights in Gmail
- Google: Email sender guidelines — SPF, DKIM and DMARC requirements including the 5,000/day bulk sender rule from Feb 2024
- FTC Consumer Advice: fake delivery scams — warnings on fake package and delivery notification phishing