Antivirus Anda Tidak Pernah Berdiri Melawan Email Kosong

Seorang staf payroll di sebuah perusahaan menengah menerima email dari CEO. Tidak ada attachment. Tidak ada link. Hanya lima baris meminta dia untuk melakukan wire transfer mendesak ke vendor baru sebelum cutoff siang hari, dan mohon tetap rahasia, kami menutup akuisisi. Dia mengirim wire $180.000. CEO tidak pernah mengirimnya. Dan setiap perangkat lunak keamanan yang dibayar perusahaan tidak melihat ada yang salah, karena memang tidak ada yang dilihat.

Ini adalah business email compromise, dan ini adalah kejahatan paling mahal di inbox Anda dengan margin yang jauh. Internet Crime Complaint Center FBI mencatat $2,9 miliar dalam kerugian BEC yang dilaporkan pada tahun 2023 saja. Ransomware, hal yang semua orang panik tentangnya, hal dengan grafis tengkorak dan penghitung mundur? Mencapai sekitar $59,6 juta dalam kerugian yang dilaporkan tahun yang sama. BEC mengalahkannya dengan faktor hampir lima puluh. Salah satu dari ini membuat headline. Yang lain mengambil uang Anda.

Alasan mengapa antivirus gagal di sini hampir memalukan. Scanner malware bekerja dengan memeriksa kode — sebuah attachment, executable, macro yang tersembunyi di spreadsheet. Mereka membandingkannya dengan signature yang diketahui berbahaya atau mengamatnya berperilaku dalam sandbox. Email BEC memberi mereka catatan teks biasa yang ditulis dalam nada bos Anda. Tidak ada payload untuk meledak. Senjatanya adalah kalimat.

Yang berarti pertahanan tidak bisa berupa scanner. Itu harus berupa kebiasaan, dan kebiasaan tinggal di header.

Inilah tanda yang tidak pernah dilihat kebanyakan orang. Field From dan field Reply-To adalah dua hal berbeda, dan scammer mengeksploitasi celahnya. Baris From menampilkan nama dan alamat yang Anda percayai — ceo@yourcompany.com, dieja dengan benar. Tetapi saat Anda memukul reply, pesan dengan tenang mengarahkan ke ceo.finance@gmail-secure-mail.com atau beberapa domain throwaway yang benar-benar dikontrol penyerang. Reply Anda, dengan konfirmasi wire, berlayar langsung ke crook. Nama display berbohong. Reply-To mengatakan kebenaran.

Jadi latih diri Anda untuk memperluas header sebelum Anda bertindak atas permintaan uang apa pun. Di Gmail, klik panah kecil di bawah nama pengirim. Di Outlook, buka detail pesan. Jika Reply-To tidak cocok dengan From, berhenti. Jika domainnya menyimpang satu karakter — rn menyamar sebagai m, .co di mana Anda mengharapkan .com — berhenti.

Versi yang lebih canggih bahkan tidak repot menyamar sebagai domain Anda sendiri. Itu menyamar sebagai vendor real yang sudah Anda bayar. Penyerang duduk di akun supplier yang dikompromikan selama berminggu-minggu, membaca thread invoice aktual, kemudian email pada waktu yang sempurna: "Kami telah memperbarui detail perbankan kami, silakan gunakan akun baru." Varian ini brutal justru karena emailnya autentik — berasal dari inbox vendor yang real, yang telah diretas. SPF, DKIM, dan DMARC semua pass dengan bersih, karena pesan benar-benar berasal dari tempat yang diklaim. Autentikasi mengkonfirmasi pengirim. Itu tidak dapat mengkonfirmasi kejujuran pengirim.

Itu adalah kebenaran yang tidak nyaman di balik semua ini: seluruh konspirasi berjalan pada kepercayaan dan tergesa-gesa, dua hal yang tidak dapat diukur oleh database signature apa pun. CEO yang "tidak pernah menggunakan email seperti ini" tiba-tiba melakukannya. Vendor yang telah memberi Anda tagihan dengan cara yang sama selama tiga tahun tiba-tiba mengubah akun. Permintaan selalu tiba dengan alasan yang tidak bisa Anda verifikasi sebelum siang hari.

Jadi verifikasi melalui saluran lain. Hubungi nomor yang sudah Anda miliki — bukan yang ada di email. Panggilan telepon sepuluh detik telah membatalkan wire enam angka lebih andal daripada produk apa pun dengan firewall dalam namanya. Scammer bertaruh Anda tidak akan mengangkat telepon. Buktikan mereka salah.