האנטיווירוס שלך לא היה עומד בכל מקרה נגד דוא"ל ריק

עובדת משכר בחברה בגודל בינוני מקבלת דוא"ל מה-CEO. ללא קובץ מצורף. ללא קישור. רק חמש שורות המבקשות ממנה לבצע העברה דחופה לספק חדש לפני חצות, ובבקשה תשמרי את זה בסוד, אנחנו סוגרים את התקנה. היא מעבירה $180,000. ה-CEO לעולם לא שלח את זה. וכל פיסת תוכנת אבטחה שהחברה שילמה עבורה ראתה בדיוק כלום רע, כי לא היה כלום לראות.

זה business email compromise, והוא הפשע היקר ביותר בתיבת הדוא"ל שלך בהפרש רחוק. מרכז תלונות הפשע באינטרנט של ה-FBI רשם $2.9 מיליארד בהפסדי BEC מדווחים ב-2023 בלבד. ransomware, הדבר שכולם פוחדים ממנו, הדבר עם גרפיקת הגלגלות וטיימר הספירה לאחור? זה התקבל בערך ב-$59.6 מיליון בהפסדים מדווחים באותה שנה. BEC מנצח אותו בפקטור של כמעט חמישים. אחד מאלה מקבל כותרות עיתונים. השני מקבל את הכסף שלך.

הסיבה שלאנטיווירוס יש כישלון כאן היא כמעט מביכה. סורקי malware עובדים על ידי בחינת קוד — קובץ מצורף, executable, macro מוטמן בגיליון אלקטרוני. הם משווים אותו לחתימות ידועות-רעות או צופים בהתנהגותו בחול כזה. דוא"ל BEC מוסר להם הערה בטקסט רגיל שנכתבה בטון של הבוס שלך. אין payload שיש להתפוצץ. הנשק הוא משפט.

זה אומר שההגנה לא יכולה להיות סורק. זה צריך להיות הרגל, וההרגל גר בכותרים.

הנה ההגעה שרוב האנשים לעולם לא מחפשים. שדה From ושדה Reply-To הם שני דברים שונים, והונאים ניצלים את הפער. שורת From מציגה שם וכתובת שאתה סומך עליהם — ceo@yourcompany.com, מאויתת בצורה נכונה. אבל ברגע שאתה לוחץ על reply, ההודעה בדיוק מנתבת אל ceo.finance@gmail-secure-mail.com או תחום זרק חד-פעמי שהתוקף בעצם שולט בו. ה-reply שלך, עם אישור ההעברה, שוטף ישר אל הנוכל. שם התצוגה שיקר. ה-Reply-To אמר את האמת.

אז תרגיל את עצמך להרחיב את הכותר לפני שתפעלי על בסיס כל בקשת כסף. ב-Gmail, לחץ על החץ הקטן תחת שם השולח. ב-Outlook, פתח פרטי הודעה. אם Reply-To לא תואם From, עצרי. אם הדומיין כבוי בתו אחד — rn מתחזה כ-m, .co שבו צפיתי ל-.com — עצרי.

הגרסה המתוחכמת יותר אפילו לא עוזבת להתחזות לתחום שלך. היא מתחזה לספק אמיתי שאתה כבר משלם לו. התוקף יושב על חשבון ספק מסוכן שבור במשך שבועות, קורא את הפתיל ההודעה בפועל, ואז שולח בזמן המושלם: "עדכנו את פרטי הבנקאות שלנו, בבקשה השתמש בחשבון החדש." גרסה זו קשה בדיוק משום שהדוא"ל אותנטי — הוא מגיע מתיבת הדוא"ל האמיתית של הספק, שבורה. SPF, DKIM, ו-DMARC כולם עוברים בצורה נקייה, כי ההודעה ממש באה מאיפה שהיא טוענת. אימות מאשר את השולח. זה לא יכול לאשר את ההונesty של השולח.

זו האמת המביכה תחת כל זה: כל ההונאה רצה על אמון והמהירות, שני דברים שאף מסד נתונים של חתימה לא יכול למדוד. CEO שלעולם "לא משתמש בדוא"ל כמו זה" פתאום עושה. ספק שחייב לך באותו אופן במשך שלוש שנים פתאום משנה חשבונות. הבקשה תמיד מגיעה עם סיבה שאתה לא יכול לאמת עד צהריים.

אז אמת דרך ערוץ אחר. התקשר למספר שכבר יש לך — לא זה שבדוא"ל. שיחת טלפון של עשרה שניות ביטלה העברות של שש ספרות באופן אמין יותר מכל מוצר עם firewall בשמו. הנוכלים מהמרים שלא תרימו את הטלפון. הוכיחו להם שהם טועים.