Gmail Membaca Tanda Terima Anda Sebelum Anda Membacanya, dan Penipu Tahu Hal Itu

Kartu rapi di bagian atas inbox Anda yang menampilkan pesanan Amazon Anda akan tiba Kamis tidak diciptakan oleh AI yang membaca pikiran Anda. Gmail menemukan blok markup schema.org yang disembunyikan pengirim di HTML email, menguraikannya, dan menggambar kartu untuk Anda. Artinya, penipu yang menempel markup yang sama dapat membuat pesanan palsu terlihat persis seperti yang dikonfirmasi oleh pesanan asli.

Bagaimana Gmail tahu paket akan datang sebelum Anda membaca email?

Pengirim memberitahunya, dalam bahasa yang dapat dibaca mesin yang diminta Gmail untuk mereka gunakan. Dokumentasi developer Google untuk email markup sangat jelas: pengecer dan maskapai menyematkan data terstruktur menggunakan kosakata schema.org, baik sebagai JSON-LD atau microdata, di dalam HTML pesan. Konfirmasi pesanan berisi objek Order dengan bidang seperti orderNumber, orderStatus, dan ParcelDelivery bersarang dengan expectedArrivalUntil dan URL pelacakan. Penerbangan membawa FlightReservation dengan bandara keberangkatan, gerbang, waktu boarding.

Parser Gmail membaca bidang-bidang itu dan merender mereka sebagai sorotan di bagian atas inbox dan di dalam pesan. AI tidak "memahami" rencana perjalanan Anda. Gmail membaca data berlabel seperti browser membaca bidang alamat. Intelijen hampir sepenuhnya ada di HTML pengirim, bukan di kotak hitam Google.

Mengapa itu membuat pesanan palsu lebih meyakinkan, bukan lebih sedikit?

Karena markup hanyalah teks, dan teks dapat disalin. Tidak ada ikatan kriptografi antara "kartu ini mengatakan pesanan Anda dikirim" dan "pesanan ini nyata." Proses pendaftaran schema Google memeriksa volume dan pemformatan pengirim sebelum memungkinkan kartu kaya skala, tetapi JSON-LD yang mendasari duduk di pandangan biasa di setiap konfirmasi asli yang pernah Anda terima. Buka satu, lihat sumber, dan di sana.

Penipu menggores blok itu, menukar dengan tautan pelacakan mereka sendiri dan nomor pesanan palsu, dan mengirimnya. Jika pesan lulus autentikasi, Gmail mungkin dengan senang hati menggambar kartu "segera tiba" yang rapi di atas email yang murni umpan. Kepercayaan visual yang telah Anda bangun selama seratus pengiriman asli dipinjam gratis. Kartu terlihat resmi karena formatnya resmi. Isinya adalah apa pun yang diketik pengirim.

Apa yang benar-benar memisahkan konfirmasi asli dari yang dipalsukan?

Bukan kartunya. Header autentikasi di bawahnya. Tiga pemeriksaan memutuskan apakah pengirim adalah orang yang mereka klaim: SPF mengonfirmasi server pengiriman resmi untuk domain, DKIM adalah tanda tangan kriptografi pada badan pesan, dan DMARC memberitahu penerima apa yang harus dilakukan ketika SPF atau DKIM gagal. Google dan Yahoo menjadikan ini wajib bagi siapa pun yang mengirim lebih dari 5.000 pesan sehari kepada pengguna mereka mulai Februari 2024. Pengirim massal tanpa DMARC yang valid ditolak atau dibuang.

Itulah lapisan yang layak dipercaya, dan itulah yang tidak ditampilkan kartu kepada Anda. Di Gmail, buka pesan, tekan menu tiga titik, pilih "Tampilkan original," dan cari PASS pada SPF, DKIM, dan DMARC. Email "pesanan dikirim" yang dipalsukan yang meniru pengecer asli biasanya akan gagal DKIM atau berasal dari domain yang tidak selaras. Kartu cantik tidak dapat berbohong tentang tanggal pengiriman; header tidak dapat berbohong tentang siapa yang mengirimnya. Alat yang membaca header itu untuk Anda, termasuk penandaan scam di email AI seperti xmail, memeriksa hal yang sama, hanya lebih cepat daripada yang Anda lakukan dengan tangan.

Apa yang harus Anda lakukan ketika kartu paket kejutan muncul?

Percayai pelacakan yang Anda mulai, bukan pelacakan yang tiba tanpa diumumkan. Jika kartu mengklaim pengiriman yang tidak Anda ingat memesan, jangan ketuk tautannya. URL pelacakan di dalam markup yang dipalsukan adalah seluruh inti konnya, sering kali mengarahkan ke halaman "bayar biaya bea cukai ini" atau "konfirmasi alamat Anda" yang mengumpulkan detail kartu. Layanan Inspeksi Pos Amerika Serikat dan FTC keduanya telah memperingatkan berulang kali tentang teks dan email pengiriman palsu yang melakukan hal yang persis sama.

Sebaliknya, pergi ke pengecer atau pembawa langsung, ketik alamat sendiri, dan tempel nomor pelacakan di sana. Jika pesanan tidak ada di akun nyata Anda, kartunya hanya sandiwara. Dan jika Anda menginginkan tanda sebelum Anda bahkan mengklik: email pengiriman asli hampir selalu berasal dari domain yang Anda telah bertransaksi dengannya dan lulus DMARC. Satu yang dipalsukan sering dikirim dari domain mirip yang gagal selaras, dengan kartu duduk di atas seperti seragam yang dipinjam.

@@BODY_END@@