read receipts
חשבונית מזויפת שעברה כל בדיקת spam
זה הגיע מחברה אמיתית, עברה כל בדיקת אימות והשתדלה לגנוב $48,000. הנה השורה שחשפה אותה.
ספק שכבר שילמת לו תריסר פעמים שולח לך חשבונית חדשה בדואר אלקטרוני. אותו לוגו, אותו מנהל חשבונות, אותה חתימה אדיבה. ההבדל היחיד הוא שורה אחת הטמונה בתוך ה-header של הדואר — והשורה הזו בדיוק הסיטה את התשלום שלך של $48,000 לזר בחו"ל.
זו החלק בהונאות של דואר עסקי שלא מזהירים אותך בקשר אליו: החשבוניות המסוכנות אינן הבלוטות. הן הנקיות. מתחזה שחוצץ לתוך חשבון דואר אמיתי של חברה לא צריך לזייף כלום. הדואר יוצא מהדומיין האמיתי, חתום בעפרונות אמיתיים. SPF עובר. DKIM עובר. DMARC עובר. מסנן ה-spam שלך מרימ כתפיים ומעביר את זה, כי מבחינת המתמטיקה זה דואר לגיטימי. זה כן. הוא פשוט נשלח על ידי האדם הלא נכון.
זו הסיבה שפשרת בדואר עסקי היא ההונאה היקרה ביותר ההולכת, וזה לא קרוב. מרכז התלונות על פשעי אינטרנט של ה-FBI רשם בערך $2.9 billion בהפסדי BEC בשנת 2023 בלבד — העברות חוט שהשאירו בחוזקה של דואר שנראה, לפי כל מדד אוטומטי, לגמרי בסדר. אין תוכנה זדונית. אין קישור חשוד. רק בקשה אמינה לעדכון פרטי תשלום, שנשלחה מתיבת דואר שהיתה כיפוף שקט.
אז אם ציון ה-spam לא יחסוך לך, מה יעזור?
שתי שורות header שאתה יכול לקרוא תוך פחות מדקה: Reply-To ו-Return-Path.
הנה ההבדל, במונחים פשוטים. כתובת ה-From היא מה שאתה רואה בחזית של המעטפה. ה-Return-Path הוא המקום שבו הודעות bounce הולכות אם ההסכמה נכשלת — ה"שולח" הטכני שהשרת המקבל למעשה דואג לו. ו-Reply-To היא הכתובת שהתשובה שלך בשקט מקבלת כשאתה מכה על הלחצן. כפי שמפרט DMARC.org, אלה יכולים להיות שונים בחוקים, וזה בדיוק מה שהופך אותם למועיל כחיווי. בדואר כן מספק, כל השלוש בדרך כלל מסתדרות תחת אותו דומיין. בהונאה של חשבון hijacked, התוקף לעתים קרובות משאיר את ה-From ללא מגע — זה חייב להיראות אמיתי — אבל מחליק ב-Reply-To המצביע למקום אחר. accounts@yourvendor.com בחזית, accounts.yourvendor@gmail.com בתשובה. דומיין שונה. לפעמים שונה בתו יחיד.
התוקף עושה זאת מסיבה פשוטה. הם אולי שולטים בתיבת הדואר המכופלת עכשיו, אבל הם לא רוצים שהתשובה שלך תחזור לתיבת הדואר של הבעלים האמיתיים, שם ייתכן שהעובד האמיתי יבחין בחשבונית שהם אף פעם לא שלחו. אז הם מסיטים את השיחה לכתובת שהם שולטים בה לחלוטין. ההסטה הזו היא טביעת האצבע.
מציאתה לוקחת בערך 20 שניות. ב-Outlook, פתח את ההודעה ותשתמש ב-File → Properties כדי לראות את ה-internet headers; Microsoft توثيق תיעדות את פורמט ה-header המלא אם אתה רוצה לקרוא כל שורה. ב-Gmail, פגע בתפריט תלת הנקודות ובחר ב-Show original. סרוק עבור Reply-To: ו-Return-Path:. אם אחד מהם מצביע על דומיין שאינו של השולח — או לחשבון דואר אינטרנט חינמי כשאתה צפוי לקבל חשבון תאגידי — עצור. אל תשיב לדואר. התקשר לספק במספר שכבר היה לך, לא זה המודפס בהודעה.
כל זה לא דורש ממך להיות טכני. זה דורש ממך להיות חשדן כלפי בדיוק הדוברים שלא מפעילים אזעקות. סימן ירוק מהמסנן שלך אומר שההודעה לא היתה מזויפת. זה לא אומר כלום על מי שמחזיק את המפתחות לחשבון ששלח אותה.
ההונאות שמנקזות חשבונות ב-2024 לא נראות כמו הונאות. הם נראים כמו יום שלישי. ה-header הוא המקום שבו השקר עדיין צריך לגור.
מקורות
- FBI IC3 — 2023 Internet Crime Report, BEC loss figures
- Microsoft Learn — Email message header reference
- DMARC.org — Reply-To vs Return-Path and authentication FAQ