Email Header yang Mengarahkan Balasan Anda Langsung ke Pencuri

Berikut adalah scam yang menghabiskan uang bisnis Amerika lebih banyak daripada ransomware, malware, dan pelanggaran data gabungan, dan biasanya tidak melibatkan malware sama sekali. Tidak ada link berbahaya. Tidak ada attachment terinfeksi. Tidak ada yang dapat ditangkap antivirus Anda. Hanya email yang terlihat berasal dari CFO Anda, dan balasan yang diam-diam pergi ke tempat lain.

Tempat lain itu adalah triknya. Dan ia hidup di field header yang hampir tidak ada klien email yang tunjukkan kepada Anda.

Field itu disebut Reply-To. Ia telah menjadi bagian dari standar internet mail sejak awal — RFC 5322 mendefinisikannya sebagai alamat di mana respons "seharusnya" dikirim, terpisah dari alamat From. Dalam penggunaan yang sah, ini membosankan dan membantu. Newsletter dikirim dari noreply@company.com tetapi menetapkan Reply-To ke support@company.com sehingga pertanyaan Anda sampai ke manusia. Itu saja. Itu adalah pekerjaan yang jujur.

Kompromi email bisnis mengubah kenyamanan itu menjadi senjata. Alih-alih pekerjaan yang berat dan teknis untuk memalsukan alamat From — yang memicu alarm SPF, DKIM, dan DMARC dan mendapat bendera — penyerang hanya mendaftarkan domain mirip atau Gmail sekali pakai. Kemudian mereka menetapkan display name ke "Karen Vasquez, CFO" sehingga inbox Anda menampilkan nama manusia yang familiar dalam bold. Alamat From aktual mungkin karen.vasquez.finance@gmail.com, tetapi Anda tidak melihat itu; Anda melihat "Karen Vasquez." Dan yang penting, mereka menetapkan Reply-To ke alamat yang mereka kontrol.

Jadi Anda membaca email. Singkat, masuk akal, sedikit mendesak. "Apakah Anda di meja? Saya perlu Anda memproses transfer sebelum bank tutup." Anda klik reply. Klien Anda, yang ingin membantu, mengarahkan respons Anda ke Reply-To — bukan From. Anda sekarang berbicara dengan penyerang, dan setiap pesan yang Anda kirim mengkonfirmasi Anda terkena tipu daya.

Skalanya di sini bukan kesalahan pembulatan. Internet Crime Complaint Center FBI mencatat $2.9 billion dalam kerugian BEC yang dilaporkan pada 2023 saja, di seluruh lebih dari 21,000 keluhan. Itu adalah angka yang dilaporkan, dari orang-orang yang memperhatikan dan mengajukan laporan. Angka sebenarnya lebih besar, karena transfer yang clear terlihat seperti Selasa normal sampai rekonsiliasi.

Yang membuat ini gila adalah bagaimana pertahanan itu tepat di sana dan tersembunyi. Setiap mail client mengetahui nilai Reply-To. Hampir tidak ada yang menampilkannya. Gmail menyatukan pengirim menjadi display name dan caret kecil yang harus Anda klik. Outlook menyembunyikan alamat asli di bawah "View source" atau dialog properties yang belum pernah dibuka kebanyakan orang. Satu field yang mengungkap konten adalah field yang antarmuka perlakukan sebagai kekacauan.

Jadi latih kebiasaan itu. Sebelum Anda membalas apa pun yang melibatkan uang, detail perbankan yang berubah, atau kedesakan, perluas header. Di Gmail, klik down-arrow di sebelah nama pengirim dan baca baris "reply-to" aktual. Jika From mengatakan satu hal dan Reply-To menunjuk ke mailbox yang berbeda, berhenti. Ketidakcocokan itu jarang tidak bersalah dalam email keuangan.

Lebih baik lagi, jangan balas sama sekali. Mulai pesan segar ke alamat yang sudah Anda simpan untuk orang itu, atau ambil telepon dan hubungi nomor yang Anda tidak dapat dari email. Penyerang menghitung Anda tetap berada di dalam thread yang mereka buat.

Elegansi suram dari scam ini adalah bahwa ia lolos dari setiap pemeriksaan otomatis dengan tidak melanggar aturan apa pun. Alamat From secara teknis nyata. Domainnya terotentikasi dengan baik. Tidak ada yang dipalsukan. Kebohongannya bukan di pipa — ia di satu baris yang software Anda putuskan Anda tidak perlu lihat.