Az e-mail fejléc, amely a válaszod egyenesen egy tolvajhoz irányítja

Itt egy olyan scam, amely az amerikai vállalkozásoknak több pénzt kerül, mint a ransomware, a malware és az adathalászatok együttvéve, és általában egyáltalán nem jelent meg malware-t. Nincs kártékony link. Nincs fertőzött melléklet. Semmi, amit az antivírusod elkapna. Csak egy e-mail, amely úgy néz ki, mintha a pénzügyi főigazgatódtól érkezett volna, és egy válasz, amely csendesen máshová megy.

Az a máshova az a trükk. És egy fejléc mezőben él, amelyet szinte egyetlen e-mail kliens sem mutat meg neked.

A mező Reply-To-nak hívják. Az internetes levelezési szabvány kezdete óta része — az RFC 5322 azt határozza meg, hogy válaszok „kell, hogy" ide kerüljenek, függetlenül a From mezőtől. Legális használatban unalmas és hasznos. A hírlevél a noreply@company.com címről érkezik, de a Reply-To-t support@company.com-ra állítja, így a kérdéseid egy emberhez érkeznek. Ez az egész. Ez az őszinte munka.

Az üzleti e-mail kompromittálás ezt a kényelmet fegyverré alakítja. Ahelyett, hogy a From cím meghamisításának nehéz, műszaki munkáját végezné — amely SPF, DKIM és DMARC riasztásokat kiváltja és megjelölésre kerül — a támadó csak egy hasonló domaint regisztrál vagy egy eldobható Gmail-t. Ezután a megjelenítési nevet „Karen Vasquez, pénzügyi főigazgató" értékre állítja, így a beérkezett leveleid egy ismert emberi nevet mutatnak félkövéren. A tényleges From cím lehet karen.vasquez.finance@gmail.com, de nem látod azt; „Karen Vasquez"-t látod. Ez pedig döntő fontosságú: a Reply-To-t egy általuk irányított címre állítják.

Tehát elolvasod az e-mailt. Rövid, elfogadható, egy kicsit sürgős. „Ott vagy az íróasztalodon? Kell, hogy feldolgozz egy átutalást, mielőtt a bank bezárna." Megnyomott a válasz gombra. Az e-mail kliensei kedvesek, így a választ a Reply-To-hoz címzik — nem a From-hoz. Most már a támadóval beszélsz, és minden üzenet, amely elküldhetsz, megerősíti, hogy megkaparintottak.

Az itt szereplő méret nem kerekítési hiba. Az FBI Internet Crime Complaint Center-e 2023-ban egyedül $2,9 milliárdot naplózott a bejelentett BEC veszteségekből, több mint 21 000 panaszban. Ez a bejelentett szám, az emberektől, akik észrevették és bejelentést tettek. A valódi szám nagyobb, mert az egy átutalás, amely rendesen végigmegy, normális kedden néz ki, amíg az egyeztetés nem történik meg.

Az amit őrültté tesz az, hogy a védekezés ott van és rejtve van. Minden levelezési kliens ismeri a Reply-To értéket. Szinte egyik sem mutatja meg. A Gmail összecsukja a feladót egy megjelenítési nével és egy apró karóval, amelyet kattintás közlekedés közlekedésére kellatnod. Az Outlook az igazi címeket a „Forrás megtekintése" vagy egy tulajdonságok párbeszédpanelen elrejti, amit a legtöbb ember soha nem nyitott meg. Az az egy mező, amely feltárja a csalódást, az az egy mező, amelyet az interfész rombolnak kezel.

Tehát szerzé be a szokást. Mielőtt válaszolnál bármire, amely pénzt tartalmaz, megváltoztatott banki adatokat vagy sürgősséget, bővítse ki a fejlécet. A Gmail-ben kattints le a nyílra a feladó neve mellett, és olvasd el az aktuális „reply-to" sort. Ha a From azt mondja egyik dolog, és a Reply-To egy más postaládára mutat, állj meg. Ez az eltérés ritkán ártatlan egy pénzügyi e-mailben.

Még jobb, ha egyáltalán nem válaszol. Indítson egy friss üzenetet az Ön által már mentett címről erre a személyre, vagy vegyen fel egy telefont egy számra, amelyet nem az e-mailből szerzett be. A támadók azt számítják, hogy benne maradsz az általuk épített szálban.

Ennek a csalásnak az szomorú eleganciája az, hogy minden automatikus ellenőrzésen átmegy, mert nem szeg meg semmilyen szabályt. A From cím technikailag valós. A domain jól hitelesül. Semmi nincs meghamisítva. A hazugság nincs a vezetékművekben — az az egy sorban van, amelyet a szoftver úgy döntött, hogy nem kell megjelenítenie.