כותרת הדוא״ל שמפנה את התשובה שלך ישירות לגנב

הנה התרמית שעולה לעסקים אמריקניים יותר כסף מ־ransomware, malware וחדירות נתונים גם יחד, וזה בדרך כלל לא כרוך בשום malware כלל. אין קישור זדוני. אין קובץ מעוכל. שום דבר שהאנטיווירוס שלך יכול לתפוס. רק דוא״ל שנראה כאילו הגיע מה־CFO שלך, ותשובה שבשקט עוברת למקום אחר.

המקום הזה הוא הטריק. והוא חי בשדה כותרת שכמעט שום תוכנית דוא״ל לא מציגה לך.

השדה נקרא Reply-To. הוא היה חלק מתקן האינטרנט mail מההתחלה — RFC 5322 מגדיר אותו ככתובת שאליה התגובות "צריכות" ללכת, בנפרד מכתובת ה-From. בשימוש לגיטימי זה משעמם ושימושי. ניוזלטר שולח מ-noreply@company.com אבל קובע Reply-To ל-support@company.com כדי שהשאלות שלך יגיעו לאדם. זהו. זה העבודה הכנה.

התנקזת דוא״ל עסקי הופכת את הנוחות הזו לנשק. במקום העבודה הקשה והטכנית של זיוף כתובת From — שמכה בעלם SPF, DKIM ו-DMARC ומקבלת דגל — התוקף פשוט רושם דומיין דומה לחיקוי או Gmail חד־פעמי. אחר כך הם קובעים את שם התצוגה ל-"Karen Vasquez, CFO" כדי שתיבת הדוא״ל שלך תראה שם אדם מוכר בהדגשה. כתובת ה-From בפועל אולי karen.vasquez.finance@gmail.com, אבל אתה לא רואה את זה; אתה רואה "Karen Vasquez." וחשוב מכך, הם קובעים את Reply-To לכתובת שהם שולטים בה.

אז אתה קורא את הדוא״ל. הוא קצר, סביר, קצת דחוף. "אתה בשולחן שלך? אני צריך שתעבד העברה בנק לפני שהבנק סוגר." אתה לוחץ על reply. התוכנה שלך, להיותה מסייעת, מעתיקה את התשובה שלך ל-Reply-To — לא ל-From. אתה עכשיו משוחח עם התוקף, וכל הודעה שאתה שולח מאשרת שנכשלת בהונאה.

ההיקף כאן אינו טעות עיגול. מרכז תלונות הפשע באינטרנט של ה-FBI רשם $2.9 billion בהפסדי BEC דלולים בשנת 2023 בלבד, על פני יותר מ-21,000 תלונות. זה המספר דלול, מאנשים ששמו לב והגישו. המספר האמיתי גדול יותר, כי הנחת חוט שמתקבלת נראית כמו שלישי נורמלי עד ישיבה.

מה שגורם לזה להיות משוגע הוא איך ההגנה כבר שם וגנוזה. כל תוכנית דוא״ל מכירה את ערך ה-Reply-To. כמעט אף אחת לא מחשפת זאת. Gmail מצטמצמת את השולח לשם תצוגה וקרט קטן שאתה צריך ללחוץ עליו. Outlook מטמיעה את הכתובות האמיתיות תחת "View source" או דיאלוג תכונות שרוב האנשים מעולם לא פתחו. השדה היחיד שחושף את ההנכחה הוא השדה היחיד שהממשק מטפל בו כמו פסולת.

אז הרגל את ההרגל. לפני שאתה משיב לכל דבר הקשור לכסף, שינוי פרטי בנקאיים, או דחיפות, הרחב את הכותרת. ב-Gmail, לחץ על החץ הנקודה לפי שם השולח וקרא את שורת ה-"reply-to" בפועל. אם ה-From אומר דבר אחד וה-Reply-To מצביע לתא דוא״ל שונה, עצור. אי-התאמה זו רק מעתמול אינה חפה בדוא״ל כלכלי.

עוד טוב יותר, לא תשיב כלל. התחל הודעה חדשה לכתובת שכבר שמרת לאותו אדם, או להתקשר למספר שלא קיבלת מהדוא״ל. התוקפים סומכים על כך שתישאר בתוך החוט שהם בנו.

האלגנטיות הקודרת של התרמית זו היא שהיא עוברת כל בדיקה אוטומטית בכך שלא שוברת שום כלל. כתובת ה-From היא טכנית אמיתית. הדומיין מאומת בסדר. שום דבר לא מזויף. השקר אינו בתעמולה — הוא בשורה היחידה שהתוכנה שלך החליטה שאתה לא צריך לראות.