הבוס שלך לא שלח לך את המייל הזה. בינה מלאכותית שהוכשרה על שלוש התגובות האחרונות שלו כן.

הסימן הישן ל-BEC מזויף היה דקדוק רע ופתיח לא רגיל. הסימן הזה נעלם. כלים גנרטיביים כיום ספגים חוט דוא"ל שרופף ותוקפים את הקצב, הפיסוק וההחתימה המדויקים של עמית, ובגלל זה Business Email Compromise עדיין מרוקן חברות — Internet Crime Complaint Center של ה-FBI רשם הפסדי BEC בדיווח של $2.9 billion בשנת 2023 לבדה. ההגנה היחידה הנמצאת בנמצא היא העברת השיחה לערוץ שונה לפני שאתה פועל.

למה אני לא יכול לסמוך על דוא"ל שנשמע בדיוק כמו המנהל שלי?

כי "נשמע כמוהו" היא עכשיו החלק הקל ביותר לזיוף. BEC בעבר הסתמך על כתובת מחוטפת או דומה במראה בצימוד לטקסט רוטט; הניסוח המביך היה הגילוי. תן לדגם שפה גדול שלוש תגובות אמיתיות מאדם והוא יתאים את הקצב שלהם — הדרך שבה הם פותחים עם "Hey," דלג על פיסוק כשהם מודים במרץ, סוגרים עם רק אות ראשונה. תוקפים מקבלים את התגובות האלה מתיבת דואר משותקת, חוט שהועבר קדימה, או שרשרת reply-all שדלפה מחוץ לחברה.

2024 Data Breach Investigations Report של Verizon מצא שהרכיב האנושי היה במעורבות בערך ב-68% מההפרות, עם הנדסה חברתית ו-pretexting כדפוס דומיננטי. הסגנון כבר אינו ראיה. האדם שכותב כמו ה-CFO שלך עשוי להיות דגם שהוכשר על חמש עשרה דקות מתוך ה-outbox של ה-CFO שלך בפועל.

איך בדיוק נראה אחד מהזיופים המשופרים האלה?

זה נראה כמו בקשה קצרה, סבירה וקצת דחופה שמתאימה לשיחה אמיתית כבר בתהליך. הצעד הקלאסי: תגובה שנופלת לחוט קיים על תשלום לספק, עם הוראות חוט חדשות וקו כמו "הבנק סימן את החשבון הישן, השתמש בזה". אין טעויות הקלדה, שמות פרויקט נכונים, תיקיות הדיבור האמיתיות של הבוס שלך.

ההיתגשות הטכנית היא ששם התצוגה יכול לקרוא בצורה מושלמת בזמן שתחום השליחה מחוץ בתו — @company-invoices.com במקום @company.com — או ה-Reply-To בשקט מצביע למקום אחר. אימות עוזר כאן: הודעה שנכשלת בהתאמת SPF, DKIM או DMARC היא חשודה לא משנה כמה אנושית היא קוראת. כלי דואר AI, כולל הדגלון של נוכלות וזיוף חשבונית המובנה ב-AI email with scam flagging, בודקים את הכותרות האלה באופן אוטומטי, כי אדם שגורשף על טלפון לעולם לא יעשה זאת.

אז איך בעצם אני מאמת בקשה שאני לא יכול לסמוך עליה בהצגתה?

החלף ערוצים ו-confirm דרך אחד שאתה כבר מכיר, לא אחד שהדוא"ל נתן לך. אם הדוא"ל מבקש כסף או פרטים, התקשר לאדם במספר מהקשרים שלך או מספריית החברה — לעולם לא המספר בחתימה. צעד לשולחן שלהם. שלח להם הודעה בכלי הצ'ט הפנימי. כל ההונאה תלויה בכך שאתה נשאר בתוך הדוא"ל, היכן שהתוקף שולט בשני הצדדים.

עשה זאת כלל, לא שיקול דעת. כל שינוי תשלום, כל חוט, כל פרט בנקאי חדש מקבל confirmation דו-ערוצי, מלא עצור — ה-IC3 בעקביות ממליץ בדיוק על verification בעל פה זה עבור BEC. כללים שורדים יום שלישי של אחר הצהריים עמוס;본능לא. והפסיקו לתייחס לסגנון כתיבה משכנע כעדות לכל דבר. הדבר היחיד שדגם שהוכשר על תגובות שרופות לא יכול לזייף הוא הבוס שלך מרים את הטלפון ואומר שהוא לעולם לא שלח אותו.