הקונצרן ללא מטען: למה "שלום, אתה פנוי?" היא כל הטריק

הדוא"ל המסוכן ביותר שהבוס שלך לא שלח מכיל ללא קישור, ללא צרופה, וללא הודעת בנק עם איות שגוי. הוא מכיל ארבע מילים: "שלום, אתה פנוי?"

זה הקונצרן. כל העסקה. וזה עובד כי הוא בנוי להחליק דרך כל הגנה שיש לך — כולל ההנסות שלך שלך.

הנה המכניקה. דוא"ל דיוג מסורתי נושא נשק: קישור זדוני, PDF מורעל, דף התחברות מזויף. מסנן הספאם שלך, שער הדוא"ל שלך, וההדרגתי שלך שכבת סינון AI מאומנים כולם לתופסים את אלה. הם בודקים את השולח מול רשומות SPF, DKIM ו-DMARC. הם סורקים צרופות. הם מסמנים דחיפות בתוספת בקשת תשלום. הודעה שאומרת "שלום, אתה פנוי?" לא מפעילה אף אחד מהם, כי אין כלום לבדוק. זה נקרא כמו יום שלישי.

המטען לא בדוא"ל. המטען הוא התשובה שלך.

ברגע שאתה כותב בחזרה — "בטוח, מה?" — עשית שתי דברים שהתוקף היה צריך. אתה אישרת שחשבון פעיל ומנוטר, ואתה פתחת הליך שבו אתה עכשיו זה שמספק את האמון. ההודעה הבאה היא היכן הוא נוחת. זה כמעט תמיד קטן, סביר, ומוגבל בזמן: אני תקוע בפגישה, אתה יכול לתפוס כמה כרטיסי מתנה לקליינט, אני אפצה אותך, פשוט שלח לי את הקודים בגב. לפעמים זה תרגום לעבר "ספק חדש". גרסת כרטיס המתנה הוא פופולרי בדיוק כי כרטיסי מתנה הם הדבר הקרוב ביותר למזומן בלתי ניתן לעקיבה שעובד נורמלי יכול לקנות ב-CVS.

זה compromise של דוא"ל עסקי, וזה לא בעיה שוליית. מרכז תלונות הפשע באינטרנט של ה-FBI רשם $2.9 billion בהפסדי BEC דווח בשנת 2023 בלבד — קטגוריה שנבנתה כמעט כולה על הודעות טקסט רגיל שלא נושאות כלום לסורק לבדוק — ללא צרופה, ללא קישור, ללא תוכנה זדונית. ה-FTC, בנפרד, עקבה אחר כרטיסי מתנה כאחת משיטות התשלום המובילות שקוצצים דורשים, עם מאות מיליונים הלך דרך כך שנה אחרי שנה. אלה לא אנשים שנופלים לדוא"לים מלכי ניגריה מצוירים. הם עובדים ממוצעים שמענים מה שנראה כמו פינג נורמלי משם שהם מכירים.

והשם הוא חצי הטריק השני. תסתכל על כתובת השליחה בפועל, לא על שם התצוגה. תוקפים רושמים תחומים דומים — החלף rn לעבור m, הוסף מקף, השתמש במייל Google חינם עם שם המנכ"ל שלך מודפס בשדה "מ". שמות תצוגה חופשיים לזיוף; הדומיין מאחורי ה-@ לא. זה ההודעה שלך. אם "Dave Morgan, CEO" כותב מ-dave.morgan.exec@gmail.com, Dave לא קיבל כתובת דוא"ל חדשה. Dave לא קיים.

הסיבה שהפתיח הממל מכה את אחד הצנוע היא פסיכולוגית, לא טכנית. דרישה קרה לכסף מעוררת חשד. שאלה חמה וברמה כמעט בונה קשר ראשון, כך שעד לכניסת הכסף לצ'ט, כבר החלטת שהאדם הזה הוא מי שהוא אומר שהוא. הקונצרן משתמש בעקביות שלך כנגדך.

אז ההגנה לא מזהה קישור רע, כי לא יהיה אחד. זה כלל על ה-בקשה, לא ההודעה: כל בקשה לכרטיסי מתנה, העברות חוט, או תשלום מנותב דרך ערוץ אחר מתהליך הנורמלי שלך מאומת מחוץ לרשת. התקשר לאדם. לא את המספר בחתימת הדוא"ל — זה בטלפון שלך. ללכת לשולחן שלהם.

הקוצץ מסתמך על היותך אדיב מספיק להשיב ועסוק מספיק שלא להשקיע בדיקה. הוכח להם שגם על החלק השני, והחלק הראשון חדל מלהיות בעל חשיבות.

תיקון, 21 באוקטובר 2026. גרסה קודמת אמרה שהודעות אלה היו אלה שום מסנן לא סימן" — טענה על כל מסנן בקיום, אשר מאמר זה לא יכול לתמוך. מה שהנתונים של ה-FBI מתארים, ומה שהטיעון בעצם צריך, הוא שההודעה לא נושאת כלום לסורק לבדוק.