आपका एंटीवायरस एक खाली ईमेल के खिलाफ कभी खड़ा नहीं हो सका

एक मध्यम आकार की फर्म के एक पेरोल क्लर्क को CEO से एक ईमेल मिलता है। कोई अटैचमेंट नहीं। कोई लिंक नहीं। बस पांच पंक्तियां जो उसे दोपहर की कटऑफ से पहले एक नए विक्रेता को एक तत्काल वायर भेजने के लिए कह रही हैं, और कृपया इसे गोपनीय रखें, हम अधिग्रहण बंद कर रहे हैं। वह $180,000 भेजती है। CEO ने इसे कभी नहीं भेजा। और कंपनी द्वारा भुगतान किए गए सभी सुरक्षा सॉफ्टवेयर ने कुछ भी गलत नहीं देखा, क्योंकि देखने को कुछ नहीं था।

यह बिजनेस ईमेल कम्प्रोमाइज़ है, और यह आपके इनबॉक्स में अब तक का सबसे महंगा अपराध है। FBI के इंटरनेट क्राइम कंप्लेंट सेंटर ने अकेले 2023 में $2.9 बिलियन की रिपोर्ट की गई BEC हानियां दर्ज कीं। रैनसमवेयर, जिससे सभी घबराते हैं, जिसमें खोपड़ी के ग्राफिक्स और काउंटडाउन टाइमर होते हैं? उसी वर्ष इसे लगभग $59.6 मिलियन की रिपोर्ट की गई हानियां दर्ज हुईं। BEC इसे लगभग पचास गुना हरा देता है। इनमें से एक को सुर्खियां मिलती हैं। दूसरे को आपका पैसा मिलता है।

एंटीवायरस यहां विफल होने का कारण लगभग शर्मनाक है। मैलवेयर स्कैनर कोड की जांच करके काम करते हैं — एक अटैचमेंट, एक एक्सीक्यूटेबल, एक स्प्रेडशीट में दबा हुआ मैक्रो। वे इसकी तुलना ज्ञात-बुरे सिग्नेचर के विरुद्ध करते हैं या सैंडबॉक्स में इसके व्यवहार को देखते हैं। एक BEC ईमेल उन्हें आपके बॉस के स्वर में लिखा गया सादे-पाठ नोट देता है। कोई पेलोड नहीं है जिसे विस्फोट करना है। हथियार एक वाक्य है।

जिसका अर्थ है कि रक्षा एक स्कैनर नहीं हो सकती। इसे एक आदत होनी चाहिए, और वह आदत हेडर में रहती है।

यहां वह बात है जिसे ज्यादातर लोग कभी नहीं देखते। From फील्ड और Reply-To फील्ड दो अलग-अलग चीजें हैं, और स्कैमर इस खाई का फायदा उठाते हैं। From लाइन एक नाम और पता दिखाती है जिस पर आप विश्वास करते हैं — ceo@yourcompany.com, सही ढंग से स्पेल किया गया। लेकिन जिस क्षण आप रिप्लाई दबाते हैं, संदेश चुपचाप ceo.finance@gmail-secure-mail.com या किसी भी थ्रो-अवे डोमेन को रूट करता है जिसे हमलावर वास्तव में नियंत्रित करता है। आपका जवाब, वायर की पुष्टि के साथ, सीधे बदमाश के पास जाता है। डिस्प्ले नाम झूठ बोला। Reply-To ने सच कहा।

तो किसी भी पैसे की मांग पर कार्रवाई करने से पहले अपने आप को हेडर विस्तारित करने का अभ्यास करें। Gmail में, भेजने वाले के नाम के तहत छोटे तीर पर क्लिक करें। Outlook में, संदेश विवरण खोलें। यदि Reply-To From से मेल नहीं खाता, तो रुकें। यदि डोमेन एक वर्ण से बंद है — rn, m के रूप में प्रस्तुत है, एक .co जहां आपने .com की अपेक्षा की थी — रुकें।

अधिक परिष्कृत संस्करण अपने स्वयं के डोमेन को स्पूफ करने का भी प्रयास नहीं करता है। यह एक वास्तविक विक्रेता को नकल करता है जिसे आप पहले से भुगतान करते हैं। हमलावर सप्ताह के लिए एक समझौताकृत आपूर्तिकर्ता खाते पर बैठता है, वास्तविक चालान थ्रेड को पढ़ता है, फिर सही क्षण में ईमेल करता है: "हमने अपने बैंकिंग विवरण अपडेट कर दिए हैं, कृपया नए खाते का उपयोग करें।" यह वेरिएंट विशेष रूप से क्रूर है क्योंकि ईमेल प्रामाणिक है — यह विक्रेता के वास्तविक, समझौताकृत इनबॉक्स से आता है। SPF, DKIM, और DMARC सभी स्वच्छ रूप से पास करते हैं, क्योंकि संदेश वास्तव में वहां से उत्पन्न हुआ है जहां यह दावा करता है। प्रमाणीकरण भेजने वाले की पुष्टि करता है। यह भेजने वाले की ईमानदारी की पुष्टि नहीं कर सकता।

यह सभी के नीचे असहज सच है: पूरा धोखाधड़ी विश्वास और जल्दबाजी पर चलता है, दो चीजें जो कोई सिग्नेचर डेटाबेस माप नहीं सकता। एक CEO जो "कभी भी इस तरह से ईमेल का उपयोग नहीं करता" अचानक करता है। एक विक्रेता जो तीन साल से आपको एक ही तरह से बिल करता है अचानक खाते बदलता है। अनुरोध हमेशा एक कारण के साथ आता है जिसे आप दोपहर तक सत्यापित नहीं कर सकते।

तो दूसरे चैनल के माध्यम से सत्यापित करें। उस नंबर को कॉल करें जो आपके पास पहले से है — ईमेल में जो नहीं है। एक दस-सेकंड की फोन कॉल ने किसी भी उत्पाद की तुलना में अधिक विश्वसनीय रूप से छह-आंकड़ा वायर को पूर्ववत किया है जिसके नाम में फायरवॉल है। स्कैमर दांव लगा रहे हैं कि आप फोन नहीं उठाएंगे। उन्हें गलत साबित करो।

@@END@@