A főnöd nem küldött emailt. Egy AI, amelyet az utolsó három válaszára tanítottak, küldte.

A hamis főnöki email régi jellegzetessége a rossz nyelvtan és a furcsa köszönés volt. Ez már nincs. A generatív eszközök egy lekért email-szálat feldolgoznak és egy kolléga pontos ritmusát, írásjeleit és aláírásait utánozzák, ami miatt az üzleti email-ekben történő kompromisszum továbbra is lecsapódik a vállalatokra — az FBI Internet Crime Complaint Center csupán 2023-ban $2,9 milliárd bejelentett BEC-veszteséget regisztrált. Az egyetlen megmaradó megbízható védekezés az, ha a beszélgetést egy másik csatornára helyezel át, mielőtt bármi történne.

Miért nem bízhatom meg egy olyan emailben, amely pontosan úgy hangzik, mint a menedzserm?

Mert az „úgy hangzik, mint ő" most már a legkönnyebb dolog, amit meg lehet hamisítani. A BEC régen egy feltört vagy hasonló címre támaszkodott, illetve tolakodó szövegre; a furcsa megfogalmazás volt az árulkodó jel. Adj egy nagy nyelvi modellnek három valódi választ valakitől, és az megfelelően utánozza az ő ritmusát — ahogy „Hey"-vel kezdenek, kihagynak írásjeleket, amikor sietnek, és csak egy kezdőbetűvel írnak alá. A támadók ezeket a válaszokat egy feltört postaládából, egy továbbított szálból vagy egy reply-all láncolatból szerzik meg, amely a vállalaton kívül szivárgott ki.

A Verizon 2024 Data Breach Investigations Report megállapította, hogy az emberi tényező az összes adatvédelmi incidens körülbelül 68%-ában szerepet játszott, a szociális mérnökösség és a predpostavka egy domináns minta. A stílus már nem bizonyíték. Az a személy, aki a CFO-d módjára írhat, lehet egy modell, amelyet a CFO-d munkadobozának tizenöt percére tanítottak.

Mit mutat az egyik ilyen fejlesztett hamis email?

Egy rövid, plauszbilis, kissé sürgős kérésnek mutatkozik, amely egy már folyamatban lévő valódi beszélgetésbe illeszkedik. A klasszikus megoldás: egy válasz, amelyet egy meglévő szálba helyeznek egy szállítói fizetésről, új huzammal és egy olyan sorral, mint „a bank megjelölte a régi számlát, ezt használd helyette." Nincs helyesírási hiba, helyesek a projekt nevei, a főnököd valós beszédmódjai.

A technikai fogyatékosság az, hogy a megjelenítendő név tökéletesnek hangozhat, miközben a küldési tartomány egy karakterrel eltér — @company-invoices.com a @company.com helyett — vagy a Reply-To csendes módon máshová mutat. Az azonosítás segít itt: egy SPF, DKIM vagy DMARC igazítása sikertelen üzenet gyanús, függetlenül attól, hogy milyen emberi hangzású. Az AI levelezési eszközök, köztük az AI email spamellenőrzéssel beépített csalás- és számlacsalás-jelölés, automatikusan ellenőrzik ezeket a fejléceket, mivel egy telefonon böngészgetô ember soha nem fog.

Szóval hogyan ellenőrizöm ténylegesen egy olyan kérést, amelyben az arca alapján nem bízhatom meg?

Váltson csatornát, és erősítse meg egy olyan csatornán keresztül, amelyet már ismer, és nem azt adta meg az email. Ha az email pénzért vagy hitelesítő adatokért kér, hívja fel az adott személyt egy kontaktjaibó vagy a vállalati könyvtárból származó számra — soha ne az aláírásban szereplő számot. Menjen az ő asztalához. Üzenetezzen velük a belső csevegés eszközön. Az egész csalás attól függ, hogy a emailben maradnak, ahol a támadó mindkét oldalt ellenőrzi.

Csináld meg szabálynak, ne ítéletnek. Bármilyen fizetés módosítása, bármilyen átutalás, bármilyen új banki adat második csatornás megerősítést kap, vége — az IC3 pontosan ezt a szóbeli ellenőrzést ajánlja konzisztensen a BEC-hez. A szabályok túlélik egy foglalt keddi délutánt; az ösztönök nem. És hagyd abba, hogy egy meggyőző írási stílust bármi bizonyítékaként kezeld. Az egyik dolog, amit egy lekért válaszokra tanított modell nem képes meghamisítani, az az, hogy a főnök felhagy a telefonnal, és azt mondja, hogy soha nem küldte el.