read receipts
आपके बॉस ने ईमेल नहीं भेजा। उनके पिछले तीन जवाबों पर प्रशिक्षित एक AI ने भेजा।
स्कैमर पहले गैर-देशी वक्ताओं की तरह लिखते थे। अब वे आपके असली मैनेजर की तरह लिखते हैं — और 'यह उसकी आवाज जैसा लगता है' अब कोई सबूत नहीं है।
नकली बॉस ईमेल की पुरानी पहचान खराब व्याकरण और अजीब अभिवादन थी। वह पहचान जा चुकी है। जनरेटिव टूल्स अब एक स्क्रैप किए गए ईमेल थ्रेड को निगलते हैं और किसी सहकर्मी की सटीक गति, विराम चिह्न और साइन-ऑफ की नकल करते हैं, यही वजह है कि बिजनेस ईमेल कम्प्रोमाइज अभी भी कंपनियों को सूखा रहा है — FBI के Internet Crime Complaint Center ने 2023 में अकेले $2.9 बिलियन की रिपोर्ट की गई BEC हानि दर्ज की। एकमात्र विश्वसनीय बचाव जो बचा है वह कार्य करने से पहले बातचीत को एक अलग चैनल पर स्थानांतरित करना है।
मैं एक ईमेल पर भरोसा क्यों नहीं कर सकता जो बिल्कुल मेरे मैनेजर की तरह लगता है?
क्योंकि "उसकी तरह लगता है" अब नकल करने का सबसे आसान हिस्सा है। BEC पहले एक हाइजैक किए गए या लुकअलाइक एड्रेस पर निर्भर था, जिसके साथ अजीब टेक्स्ट था; अनाड़ी वाक्य रचना ही इशारा थी। एक बड़े भाषा मॉडल को किसी से तीन वास्तविक जवाब दें और यह उनकी लय से मेल खाएगा — जिस तरह से वे "Hey" से शुरू करते हैं, जब जल्दबाजी में विराम चिह्न छोड़ते हैं, बस एक पहले अक्षर से साइन ऑफ करते हैं। हमलावर ये जवाब एक समझौता किए गए मेलबॉक्स, एक अग्रेषित थ्रेड, या एक रिप्लाई-ऑल चेन से प्राप्त करते हैं जो कंपनी के बाहर लीक हो गई हो।
Verizon की 2024 Data Breach Investigations Report ने पाया कि लगभग 68% ब्रीचेस में मानव तत्व शामिल था, सामाजिक इंजीनियरिंग और प्रिटेक्सटिंग एक प्रभावशाली पैटर्न है। शैली अब सबूत नहीं है। जो व्यक्ति आपके CFO की तरह लिखता है वह एक मॉडल हो सकता है जो आपके CFO के आउटबॉक्स के पन्द्रह मिनट पर प्रशिक्षित हो।
इनमें से एक अपग्रेड किया गया नकली वास्तव में कैसा दिखता है?
यह एक छोटा, प्रशंसनीय, थोड़ा तरंग वाला अनुरोध दिखता है जो पहले से चल रही एक वास्तविक बातचीत में फिट बैठता है। क्लासिक कदम: एक विक्रेता भुगतान के बारे में एक मौजूदा थ्रेड में गिराया गया जवाब, नए वायर निर्देश और "बैंक ने पुराने खाते को फ्लैग किया, इसका उपयोग करें" जैसी पंक्ति के साथ। कोई टाइपो नहीं, सही प्रोजेक्ट नाम, आपके बॉस की असली भाषण की आदतें।
तकनीकी पकड़ यह है कि डिस्प्ले नाम बिल्कुल पढ़ सकता है जबकि भेजने वाला डोमेन एक वर्ण से बंद हो — @company-invoices.com के बजाय @company.com — या Reply-To चुपचाप कहीं और इशारा करता है। प्रमाणीकरण यहाँ मदद करता है: एक संदेश जो SPF, DKIM, या DMARC संरेखण में विफल होता है वह संदिग्ध होता है भले ही यह कितना भी मानवीय क्यों न लगे। AI मेल टूल्स, जिसमें scam flagging के साथ AI ईमेल में बनी scam और invoice-fraud flagging शामिल है, स्वचालित रूप से उन हेडर की जांच करते हैं, क्योंकि एक व्यक्ति फोन पर स्किम करते हुए कभी नहीं करेगा।
तो मैं वास्तव में एक अनुरोध को कैसे सत्यापित करूं जिस पर मैं इसके चेहरे पर भरोसा नहीं कर सकता?
चैनल स्विच करें और एक के माध्यम से पुष्टि करें जिसे आप पहले से जानते हैं, वह नहीं जो ईमेल ने दिया है। यदि ईमेल पैसे या क्रेडेंशियल के लिए पूछता है, तो अपने संपर्कों या कंपनी निर्देशिका से एक नंबर पर व्यक्ति को कॉल करें — कभी भी हस्ताक्षर में नंबर नहीं। उनके डेस्क पर चलें। उन्हें आंतरिक चैट टूल पर संदेश भेजें। पूरे scam को आप ईमेल के अंदर रहने पर निर्भर करता है, जहां हमलावर दोनों पक्षों को नियंत्रित करता है।
इसे एक निर्णय कॉल नहीं, एक नियम बनाएं। कोई भी भुगतान परिवर्तन, कोई भी वायर, कोई भी नया बैंकिंग विवरण एक दूसरी-चैनल पुष्टि प्राप्त करता है, पूर्ण विराम — IC3 BEC के लिए बिल्कुल इसी मौखिक सत्यापन की लगातार सिफारिश करता है। नियम एक व्यस्त मंगलवार दोपहर को जीवित रहते हैं; प्रवृत्तियां नहीं। और एक आश्वस्त लेखन शैली को कुछ भी साबित करने के रूप में मानना बंद करें। एक चीज जो स्क्रैप किए गए जवाबों पर प्रशिक्षित मॉडल नकल नहीं कर सकता वह है आपका बॉस फोन उठाना और कहना कि उसने यह कभी नहीं भेजा।
स्रोत
- FBI IC3 2023 Internet Crime Report — $2.9B in reported BEC losses for 2023
- Verizon 2024 Data Breach Investigations Report — human element in ~68% of breaches; social engineering and pretexting
- FBI IC3 BEC guidance — recommends verbal second-channel verification of payment changes