नकली इनवॉइस जो हर स्पैम टेस्ट में पास हो गई

एक विक्रेता जिसे आपने दर्जन भर बार भुगतान किया है, एक नई इनवॉइस ईमेल करता है। वही लोगो, वही अकाउंट मैनेजर, वही विनम्र हस्ताक्षर। एकमात्र अंतर ईमेल के हेडर में दफन एक लाइन है — और वह लाइन आपके $48,000 भुगतान को किसी दूसरे देश के अजनबी के पास भेज देती है।

यह इनबॉक्स फ्रॉड का वह हिस्सा है जिसके बारे में कोई आपको चेतावनी नहीं देता: खतरनाक इनवॉइसें लापरवाही वाली नहीं होती हैं। वे साफ-सुथरी होती हैं। एक स्कैमर जो किसी असली कंपनी के ईमेल अकाउंट में घुसपैठ करता है, उसे कुछ भी जालसाजी करने की ज़रूरत नहीं है। मेल असली डोमेन से निकलता है, असली कुंजियों के साथ हस्ताक्षरित होता है। SPF पास करता है। DKIM पास करता है। DMARC पास करता है। आपका स्पैम फिल्टर कंधे उचकाता है और इसे गुज़ारता है, क्योंकि गणितीय दृष्टिकोण से, यह वैध मेल है। यह है। बस गलत इंसान भेज रहा है।

इसीलिए बिज़नेस ईमेल कम्प्रोमाइज़ सबसे महंगा स्कैम है, और यह कोई क़रीबी नहीं है। FBI के इंटरनेट क्राइम कम्प्लेंट सेंटर ने 2023 में अकेले लगभग $2.9 billion BEC नुकसान दर्ज किया — वायर ट्रांसफर जो एक ईमेल की ताकत पर निकले जो हर स्वचालित मापदंड के अनुसार बिल्कुल ठीक दिखता था। कोई मैलवेयर नहीं। कोई संदिग्ध लिंक नहीं। बस भुगतान विवरण अपडेट करने के लिए एक विश्वसनीय अनुरोध, एक इनबॉक्स से भेजा गया जिसे चुपचाप हाइजैक कर दिया गया था।

तो अगर स्पैम स्कोर आपको नहीं बचाएगा, तो क्या करेगा?

दो हेडर लाइनें जिन्हें आप एक मिनट में पढ़ सकते हैं: Reply-To और Return-Path।

यहाँ अंतर है, सरल शब्दों में। From एड्रेस वह है जो आप लिफाफे के सामने देखते हैं। Return-Path वह है जहाँ बाउंस संदेश जाते हैं अगर डिलीवरी विफल हो — तकनीकी "प्रेषक" जिसकी वास्तव में रिसीविंग सर्वर को परवाह है। और Reply-To वह एड्रेस है जहाँ आपका जवाब चुपचाप भेजा जाता है जब आप बटन दबाते हैं। जैसा कि DMARC.org बताता है, ये वैध रूप से भिन्न हो सकते हैं, जो बिल्कुल वही है जो उन्हें एक संकेत के रूप में उपयोगी बनाता है। किसी विक्रेता से ईमानदार मेल पर, तीनों आमतौर पर एक ही डोमेन के तहत पंक्तिबद्ध होते हैं। हाइजैक किए गए अकाउंट स्कैम पर, हमलावर अक्सर From को अछूता छोड़ देता है — इसे असली दिखना है — लेकिन Reply-To में कहीं और इशारा करने वाली एक लाइन फिसलाता है। सामने accounts@yourvendor.com, जवाब पर accounts.yourvendor@gmail.com। अलग डोमेन। कभी-कभी एक एकल वर्ण से अलग।

हमलावर यह एक सरल कारण के लिए करता है। वे अभी समझौता किए गए मेलबॉक्स को नियंत्रित कर सकते हैं, लेकिन वे नहीं चाहते कि आपका जवाब वापस असली मालिक के इनबॉक्स में आए, जहाँ असली कर्मचारी को एक इनवॉइस का नोटिस मिल सकता है जो उन्होंने कभी नहीं भेजी। तो वे बातचीत को एक एड्रेस पर रीडायरेक्ट करते हैं जिसे वे पूरी तरह से नियंत्रित करते हैं। वह रीडायरेक्ट फिंगरप्रिंट है।

इसे खोजने में लगभग 20 सेकंड लगते हैं। Outlook में, संदेश खोलें और इंटरनेट हेडर देखने के लिए File → Properties का उपयोग करें; Microsoft पूरे हेडर फॉर्मेट को दस्तावेज़ करता है यदि आप हर लाइन पढ़ना चाहते हैं। Gmail में, तीन-बिंदु मेनू हिट करें और Show original चुनें। Reply-To: और Return-Path: के लिए स्कैन करें। यदि कोई भी प्रेषक के डोमेन के अलावा किसी डोमेन की ओर इशारा करता है — या एक फ्री वेबमेल अकाउंट की ओर जब आप एक कॉर्पोरेट की उम्मीद करते हैं — रुकें। ईमेल का जवाब न दें। विक्रेता को एक संख्या पर कॉल करें जो आपके पास पहले से है, संदेश में मुद्रित संख्या नहीं।

इसमें से कोई भी तकनीकी होने की आवश्यकता नहीं है। इसके लिए आवश्यक है कि आप बिल्कुल उन ईमेल के प्रति संदेहास्पद हों जो कोई अलर्ट ट्रिगर नहीं करते। आपके फिल्टर से एक हरा टिकचिन्ह मतलब है कि संदेश जाली नहीं था। यह कुछ नहीं कहता कि इसे भेजने वाले अकाउंट की कुंजियाँ किसके पास हैं।

2024 में स्कैम जो अकाउंट को खाली कर देते हैं वे स्कैम की तरह नहीं दिखते हैं। वे मंगलवार की तरह दिखते हैं। हेडर वह जगह है जहाँ झूठ को अभी भी रहना है।

@@END@@