A Gmail a visszaigazolásokat az email megnyitása előtt olvassa, és a csalók ezt tudják

Az a rendezett kártya a beérkezési listád tetején, amely azt mutatja, hogy az Amazon-rendelésed csütörtökön megérkezik, nem egy gondolatmeggyorsítás által teremtett varázslattal jön létre. A Gmail egy schema.org jelölésből álló kódblokk megtalálta az email HTML-jében, feldolgozta, és kirajzolta a kártyát neked. Ez azt jelenti, hogy egy csaló, aki ugyanezt a jelölést beilleszti, egy hamis rendelést pontosan olyan megerősítettnek tudhat megjeleníteni, mint egy valódiat.

Honnan tudja a Gmail, hogy csomag érkezik az email elolvasása előtt?

Az elküldő megmondja neki egy gépi nyelvezeten, amelyet a Gmail kér, hogy használjon. A Google fejlesztői dokumentációja az email jelölésről explicit: a kereskedők és légitársaságok strukturált adatokat szúrnak be a schema.org szókincs használatával, akár JSON-LD formában, akár mikroadatként, az üzenet HTML-jében. Egy rendelési visszaigazolás egy Order objektum nélkül érkezik olyan mezőkkel, mint orderNumber, orderStatus, és egy beágyazott ParcelDelivery az expectedArrivalUntil és egy nyomkövetési URL-lel. Egy repülőjárat FlightReservation nélkül érkezik az indulási reptér, a kapu, a beszállási idő információival.

A Gmail feldolgozója olvassa ezeket a mezőket, és kirajzolja azokat a beérkezési lista tetején és az üzenetben lévő kiemelésekként. Nem az „AI" „érti meg" az utazási terveidet. Azt olvassa, amit egy böngésző olvas az egy olyan szövegmezőből, amely címkékkel van ellátva. Az intelligencia szinte kizárólag az elküldő HTML-jében van, nem a Google fekete dobozában.

Miért tesz ez a jelölés szándékosan hamisított rendeléseket hitelesebbekké, nem kevésbé hitelesekké?

Mert a jelölés csak szöveg, és a szöveg másolható. Nincs kriptográfiai kapcsolat a „ez a kártya azt mondja, hogy a rendelésed elküldésre került" és „ez a rendelés valódi" között. A Google schema regisztrációs folyamata az elküldő mennyiségét és formázását ellenőrzi, mielőtt a gazdag kártyákat nagy léptékben engedélyezi, de az alapul szolgáló JSON-LD az egyszerű szöveg között ül minden egyes legitim visszaigazolásban, amelyet valaha kapott. Nyiss meg egyet, nézd meg a forrást, és ott van.

Egy csaló leszkrapozza ezt a blokkot, kicseréli a saját nyomkövetési linkjére és egy hamis rendelésszámra, és elküldi. Ha az üzenet átmegy a hitelesítésen, a Gmail szívesen rajzolhat egy tiszta „hamarosan érkezik" kártyát egy olyan email fölé, amely teljesen csali. Az a vizuális bizalom, amelyet száz valós szállítás alatt építettél fel, ingyen kölcsönzésre kerül. A kártya azért tűnik hivatalosnak, mert a formátum hivatalos. A tartalom az, amit az elküldő begépelt.

Mi különbözteti meg valójában a valós visszaigazolást a hamisítottól?

Nem a kártya. Az alatta lévő hitelesítési fejlécek. Három ellenőrzés dönti el, hogy az elküldő az, akinek mondja magát: az SPF megerősíti, hogy a küldési szerver jogosult a domainhez, a DKIM egy kriptográfiai aláírás az üzenet törzséhez, és a DMARC megmondja a címzetteknek, mit kell tenniük, ha az SPF vagy a DKIM sikertelen. A Google és a Yahoo ezt kötelezővé tette 2024 februárja óta mindenki számára, aki több mint 5000 üzenetet küld naponta a felhasználóiknak. Az érvényes DMARC nélkül küldő tömeges küldők elutasításra vagy szemétesítésre kerülnek.

Ez az a réteg, amelyben megbízhatunk, és ez az az, amelyet egyetlen kártya sem mutat meg. A Gmailben nyiss meg az üzenetet, nyomj meg három pontot, válaszd a „Show original" opciót, és keress PASS jelzéseket az SPF, DKIM és DMARC felhasználástól. Egy hamis „rendelés elküldésre került" email, amely egy valós kereskedőt utánoz, általában az DKIM-nél bukik meg, vagy egy olyan domainből érkezik, amely nem igazodik. Az elegáns kártya nem hazudhat a szállítási dátumokról; a fejlécek nem hazudhatnak az elküldőről. Az olyan eszközök, amelyek ezeket a fejléceket olvasják neked, beleértve az xmail-hez hasonló AI email-ben lévő spam-jelzést, ugyanezt ellenőrzik, csak gyorsabban, mint ahogyan azt kézzel tenné.

Mit kell tenned, amikor egy meglepetés-csomag kártya megjelenik?

Bízz a nyomkövetésben, amelyet te kezdeményeztél, nem a nyomkövetésben, amely váratlanul érkezett. Ha egy kártya azt állítja, hogy egy szállítás van, amelyre nem emlékszel, hogy rendelted, ne nyomd meg a linkét. A nyomkövetési URL a hamis jelölés belsejében az egész szempontja a csalásnak, gyakran olyan „fizess ezt a vám díjat" vagy „erősítsd meg a címedet" oldalra vezet, amely bankkártyaadatokat gyűjt be. Az U.S. Postal Inspection Service és az FTC egyaránt több alkalommal figyelmeztetett a hamis szállítási szövegekről és emailekről, amelyek pontosan ezt csinálják.

Inkább menj a kereskedőhöz vagy a fuvarozzóhoz közvetlenül, írj be egy címet magad, és illeszd be a nyomkövetési számot ott. Ha a rendelés nem létezik a valós fiókodban, a kártya csak színjáték volt. Ha pedig egy olyan jelhez akarsz szert tenni, mielőtt még kattintanál: egy valódi szállítási email szinte mindig egy olyan domainből érkezik, amellyel már tranzakciót végeztel, és megfelel a DMARC-nak. A hamis gyakran egy olyan hasonlító domainből érkezik, amely nem igazodik, egy kártyával a tetején, mint egy kölcsönzött egyenruha.