A hamis számla, amely minden spamtesztet teljesített

Egy szállító, akinek tucatszor már fizetett, friss számlát küld e-mailben. Ugyanaz a logó, ugyanaz a fiókvezető, ugyanaz a udvarias zárlat. Az egyetlen különbség egy olyan sor, amely az e-mail fejlécében rejtőzik — és ez a sor az Ön $48,000-os kifizetését egy másik ország idegenéhez irányította át.

Ez az a része a beérkezett levelek csalásának, amelyről senki sem figyelmezteti Önt: a veszélyes számlák nem a gondatlanul készültek. A tiszta számlák azok. Az a támadó, aki feltör egy valódi üzleti e-mail fiókot, nem kell, hogy semmiről hamis dokumentumot készítsen. Az e-mail a valódi tartományból megy ki, valódi kulcsokkal aláírva. Az SPF teljesül. A DKIM teljesül. A DMARC teljesül. Az e-mail szűrője vállat von, és átengedíti, mert a matematika szerint ez jogos levelezés. Ez is az. Csak a rossz ember küldte el.

Ezért az üzleti e-mail kompromisszum a legdrágább csalás, és ez nem is közeli verseny. Az FBI Internet Crime Complaint Center nagyjából $2,9 milliárd BEC-veszteséget jegyzett fel 2023-ban — banki átutalások, amelyek egy olyan e-mail alapján indultak el, amely minden automatizált mérce szerint teljesen rendben volt. Nincs malware. Nincs kétes link. Csak egy hiteles kérés a fizetési adatok frissítéséhez, egy olyan beérkezett postafiókból küldve, amelyet csendesen feltörtek.

Tehát ha a spam pontszám nem menti meg Önt, mi teszi meg?

Két fejléc sor, amelyet kevesebb mint egy perc alatt el tud olvasni: Reply-To és Return-Path.

Íme a különbség egyszerű szavakkal. A From cím az, amit az boríték elején látsz. A Return-Path az, ahová a visszapattanási üzenetek mennek, ha a kézbesítés sikertelen — a technikai „feladó", amellyel a fogadó kiszolgáló valójában foglalkozik. A Reply-To pedig az a cím, ahová a válaszod csendesen el lesz küldve, amikor megnyomod a gombot. Amint az DMARC.org kifejtése szerint, ezek jogosan eltérhetnek, ami pontosan azért teszi hasznosnak őket, mint egy jelzést. A szállítótól érkező becsületes levelezésen mindhárom általában ugyanazon tartományon belül sorakozik fel. Egy feltört fiók csaláson a támadó gyakran hagyja érintetlenül a From címet — úgy kell kinéznie, hogy valódi — de beszúr egy Reply-To címet, amely máshova mutat. accounts@yourvendor.com az elején, accounts.yourvendor@gmail.com a válaszban. Eltérő tartomány. Néha csak egyetlen karakterrel eltérő.

A támadó ezt egy egyszerű okból csinálja. Lehetséges, hogy most irányítja a feltört postafiókot, de nem akarja, hogy a válaszod vissza kerüljön a valódi tulajdonos beérkezett leveleihez, ahol a valódi munkavállaló észrevehetné egy sohasem elküldött számlát. Így átirányítja a beszélgetést egy olyan címre, amelyet teljes mértékben irányít. Ez az átirányítás az ujjlenyomat.

Az megtalálása körülbelül 20 másodpercig tart. Az Outlook-ban nyissa meg az üzenetet, és a Fájl → Tulajdonságok lehetőséggel tekintse meg az internet fejléceket; a Microsoft dokumentálja a teljes fejléc formátumot, ha szeretné elolvasni minden sort. A Gmail-ben kattintson a három pontra és válassza az Eredeti megjelenítése lehetőséget. Keresse meg a Reply-To: és Return-Path: sorokat. Ha bármelyik olyan tartományra mutat, amely nem a feladó tartománya — vagy ingyenes webes postafiókra, amikor egy vállalati fiókot várnál — állj meg. Ne válaszolj az e-mailre. Hívd fel a szállítót egy számra, amely már megvan nálad, nem az üzenetben nyomtatott szám.

Mindezt nem kell, hogy technikusnak lenned. Szükséges, hogy gyanúval kezeld pontosan azokat az e-maileket, amelyek nem váltanak ki riasztást. Az Ön szűrőjétől kapott zöld pipa azt jelenti, hogy az üzenetet nem hamisították meg. Semmit nem mond arról, hogy ki tartja kezében azokat a kulcsokat, amelyeket az e-mail küldő fiók felhasznál.

A 2024-ben a számlákat leeresztő csalások nem úgy néznek ki, mint csalások. Olyannak néznek ki, mint a kedd. A fejléc az, ahol az adathalál még mindig meg kell, hogy éljen.