Invoice Palsu yang Lolos dari Setiap Tes Spam

Seorang vendor yang sudah Anda bayar lusinan kali mengirim invoice baru. Logo sama, account manager sama, sign-off yang sopan sama. Satu-satunya perbedaan adalah satu baris yang tersembunyi di header email — dan baris itu baru saja mengalihkan pembayaran $48.000 Anda ke orang asing di negara lain.

Ini adalah bagian dari penipuan inbox yang tidak ada yang memperingatkan Anda: invoice berbahaya bukan yang ceroboh. Mereka adalah yang rapi. Seorang scammer yang masuk ke akun email bisnis nyata tidak harus memalsukan apa pun. Email keluar dari domain asli, ditandatangani dengan kunci asli. SPF lolos. DKIM lolos. DMARC lolos. Filter spam Anda mengangguk dan membiarkannya lewat, karena sejauh matematika peduli, ini adalah mail yang sah. Memang begitu. Hanya saja dikirim oleh manusia yang salah.

Itulah sebabnya business email compromise adalah scam paling mahal, dan bukan itu saja. Internet Crime Complaint Center FBI mencatat kurang lebih $2,9 miliar dalam kerugian BEC hanya pada 2023 — transfer kawat yang berangkat berdasarkan email yang terlihat, menurut setiap ukuran otomatis, sepenuhnya baik. Tidak ada malware. Tidak ada link mencurigakan. Hanya permintaan yang dapat dipercaya untuk memperbarui detail pembayaran, dikirim dari inbox yang telah diam-diam diretas.

Jadi jika spam score tidak akan menyelamatkan Anda, apa yang akan?

Dua baris header yang dapat Anda baca dalam waktu kurang dari satu menit: Reply-To dan Return-Path.

Inilah perbedaannya, dalam istilah sederhana. Alamat From adalah apa yang Anda lihat di depan amplop. Return-Path adalah ke mana pesan bounce pergi jika pengiriman gagal — "pengirim" teknis yang benar-benar peduli oleh server penerima. Dan Reply-To adalah alamat yang balasan Anda dikirim dengan tenang ketika Anda menekan tombol. Seperti yang dijelaskan DMARC.org, keduanya dapat berbeda dengan sah, yang persis membuat mereka berguna sebagai identifikasi. Pada mail jujur dari vendor, ketiganya biasanya selaras di bawah domain yang sama. Pada scam akun yang diretas, penyerang sering membiarkan From tidak tersentuh — harus terlihat nyata — tetapi memasukkan Reply-To yang menunjuk ke tempat lain. accounts@yourvendor.com di depan, accounts.yourvendor@gmail.com pada balasan. Domain berbeda. Kadang berbeda satu karakter.

Penyerang melakukan ini karena alasan sederhana. Mereka mungkin mengendalikan mailbox yang dikompromikan sekarang, tetapi mereka tidak ingin balasan Anda mendarat kembali di inbox pemilik asli, di mana karyawan asli mungkin memperhatikan invoice yang tidak pernah mereka kirim. Jadi mereka mengalihkan percakapan ke alamat yang sepenuhnya mereka kuasai. Pengalihan itu adalah sidik jarinya.

Menemukannya membutuhkan sekitar 20 detik. Di Outlook, buka pesan dan gunakan File → Properties untuk melihat internet header; Microsoft mendokumentasikan format header lengkap jika Anda ingin membaca setiap baris. Di Gmail, tekan menu tiga titik dan pilih Show original. Pindai untuk Reply-To: dan Return-Path:. Jika salah satu menunjuk ke domain yang bukan milik pengirim — atau ke akun webmail gratis ketika Anda mengharapkan akun perusahaan — berhenti. Jangan balas email. Hubungi vendor di nomor yang sudah Anda miliki, bukan nomor yang tercetak di pesan.

Tidak ada dari ini memerlukan Anda untuk bersikap teknis. Ini memerlukan Anda untuk mencurigai email yang persis tidak memicu alarm apa pun. Centang hijau dari filter Anda berarti pesan tidak dipalsu. Ini tidak mengatakan apa pun tentang siapa yang memegang kunci ke akun yang mengirimnya.

Scam yang menguras akun pada 2024 tidak terlihat seperti scam. Mereka terlihat seperti hari Selasa. Header adalah tempat kebohongan masih harus tinggal.