Bos Anda Tidak Mengirim Email Itu. Sebuah AI yang Dilatih dari Tiga Reply Terakhirnya yang Melakukannya.

Tanda lama untuk email bos palsu adalah tata bahasa yang buruk dan salam yang aneh. Tanda itu sudah hilang. Alat generatif sekarang mengambil utas email yang discrape dan meniru ritme, tanda baca, dan sign-off kolega yang persis sama, itulah mengapa business email compromise masih menguras perusahaan — FBI's Internet Crime Complaint Center mencatat $2.9 billion dalam kerugian BEC yang dilaporkan pada tahun 2023 saja. Satu-satunya pertahanan yang dapat diandalkan yang tersisa adalah memindahkan percakapan ke saluran berbeda sebelum Anda bertindak.

Mengapa saya tidak bisa mempercayai email yang terdengar persis seperti manajer saya?

Karena "terdengar seperti dirinya" sekarang adalah bagian paling mudah untuk dipalsukan. BEC dulu bergantung pada alamat yang diambil alih atau mirip digabungkan dengan teks yang canggung; frasa yang awkward adalah pengungkapnya. Berikan model bahasa besar tiga balasan nyata dari seseorang dan itu akan mencocokkan ritme mereka — cara mereka membuka dengan "Hey," melewatkan tanda baca saat terburu-buru, sign off dengan hanya inisial pertama. Penyerang mendapatkan balasan tersebut dari mailbox yang dikompromikan, utas yang diteruskan, atau rantai reply-all yang bocor di luar perusahaan.

Laporan Investigasi Pelanggaran Data 2024 Verizon menemukan elemen manusia terlibat dalam kira-kira 68% dari pelanggaran, dengan social engineering dan pretexting menjadi pola dominan. Gaya bukan lagi bukti. Orang yang menulis seperti CFO Anda mungkin model yang dilatih dari lima belas menit outbox CFO Anda.

Apa tampilan sebenarnya dari salah satu palsu yang ditingkatkan ini?

Terlihat seperti permintaan singkat, masuk akal, sedikit mendesak yang cocok dengan percakapan nyata yang sudah berlangsung. Gerakan klasik: balasan yang dijatuhkan ke utas yang ada tentang pembayaran vendor, dengan instruksi kawat baru dan baris seperti "bank menandai akun lama, gunakan yang ini." Tidak ada typo, nama proyek yang benar, tics pidato bos Anda yang sebenarnya.

Tangkapan teknis adalah bahwa nama tampilan dapat dibaca dengan sempurna sementara domain pengiriman menyimpang satu karakter — @company-invoices.com bukan @company.com — atau Reply-To diam-diam menunjuk ke tempat lain. Autentikasi membantu di sini: pesan yang gagal penyelarasan SPF, DKIM, atau DMARC adalah mencurigakan tidak peduli seberapa manusiawi bunyinya. Alat email AI, termasuk flagging penipuan dan fraud invoice yang dibangun ke dalam AI email dengan flagging penipuan, memeriksa header tersebut secara otomatis, karena seseorang yang membaca-skimming di ponsel tidak akan pernah melakukannya.

Jadi bagaimana saya benar-benar memverifikasi permintaan yang tidak bisa saya percayai di mukanya?

Beralih ke saluran dan konfirmasi melalui yang sudah Anda ketahui, bukan yang diberikan email kepada Anda. Jika email meminta uang atau kredensial, hubungi orang tersebut di nomor dari kontak Anda atau direktori perusahaan — jangan pernah nomor di tanda tangan. Jalan ke meja mereka. Kirim pesan kepada mereka pada alat obrolan internal. Seluruh scam tergantung pada Anda tetap berada di dalam email, di mana penyerang mengendalikan kedua sisi.

Jadikan itu aturan, bukan panggilan penilaian. Perubahan pembayaran apa pun, kawat apa pun, detail perbankan baru apa pun mendapat konfirmasi saluran kedua, titik penuh — IC3 secara konsisten merekomendasikan verifikasi lisan yang persis ini untuk BEC. Aturan bertahan Selasa sore yang sibuk; naluri tidak. Dan berhenti memperlakukan gaya menulis yang meyakinkan sebagai bukti apa pun. Satu-satunya hal yang tidak bisa dipalsukan oleh model yang dilatih pada balasan yang discrape adalah bos Anda mengangkat telepon dan mengatakan dia tidak pernah mengirimnya.