Gmail legge le tue ricevute prima che le legga tu, e i truffatori lo sanno

Quella elegante scheda in cima alla tua inbox che mostra il tuo ordine Amazon in arrivo giovedì non è stata evocata da un'IA che legge nella mente. Gmail ha trovato un blocco di markup schema.org che il mittente ha nascosto nell'HTML dell'email, l'ha analizzato e ha disegnato la scheda per te. Il che significa che un truffatore che incolla lo stesso markup può fare in modo che un ordine falso appaia esattamente come confermato quanto uno vero.

Come fa Gmail a sapere che un pacco sta arrivando prima che tu legga l'email?

Glielo dice il mittente, in un linguaggio leggibile da macchina che Gmail chiede loro di usare. La documentazione per sviluppatori di Google per il markup dell'email è esplicita: i rivenditori e le compagnie aeree incorporano dati strutturati usando il vocabolario schema.org, sia come JSON-LD che come microdata, all'interno dell'HTML del messaggio. Una conferma d'ordine contiene un oggetto Order con campi come orderNumber, orderStatus, e un ParcelDelivery annidato con expectedArrivalUntil e un URL di tracciamento. Un volo contiene una FlightReservation con l'aeroporto di partenza, il gate, l'orario di imbarco.

Il parser di Gmail legge quei campi e li visualizza come evidenziazioni in cima alla inbox e all'interno del messaggio. Nessuna IA sta "comprendendo" i tuoi piani di viaggio. Sta leggendo dati etichettati allo stesso modo in cui un browser legge un campo indirizzo. L'intelligenza è quasi interamente nell'HTML del mittente, non nella scatola nera di Google.

Perché questo rende gli ordini falsi più convincenti, non meno?

Perché il markup è solo testo, e il testo si copia. Non c'è alcun legame crittografico tra "questa scheda dice che il tuo ordine è stato spedito" e "questo ordine è reale". Il processo di registrazione dello schema di Google controlla il volume e la formattazione di un mittente prima di abilitare schede rich su larga scala, ma il JSON-LD sottostante è seduto alla luce del giorno in ogni conferma legittima che hai mai ricevuto. Aprine una, visualizza il codice sorgente, ed ecco che c'è.

Un truffatore raschia quel blocco, sostituisce il suo link di tracciamento e un numero d'ordine falso, e lo invia. Se il messaggio supera l'autenticazione, Gmail potrebbe disegnare felicemente una scheda "in arrivo presto" sopra un'email che è pura esca. La fiducia visiva che hai accumulato su cento consegne reali viene presa in prestito gratuitamente. La scheda sembra ufficiale perché il formato è ufficiale. I contenuti sono quello che il mittente ha digitato.

Cosa separa davvero una conferma reale da una contraffatta?

Non la scheda. Gli header di autenticazione sotto di essa. Tre controlli decidono se un mittente è chi dice di essere: SPF conferma che il server di invio è autorizzato per il dominio, DKIM è una firma crittografica sul corpo del messaggio, e DMARC dice ai ricevitori cosa fare quando SPF o DKIM falliscono. Google e Yahoo hanno reso questo obbligatorio per chiunque invii più di 5.000 messaggi al giorno ai loro utenti a partire da febbraio 2024. I mittenti in massa senza un DMARC valido vengono rifiutati o messi in spam.

Questo è lo strato che vale la pena fidarsi, ed è quello che nessuna scheda ti mostra. In Gmail, apri il messaggio, premi il menu con tre punti, scegli "Mostra originale", e cerca PASS su SPF, DKIM e DMARC. Un'email contraffatta "ordine spedito" che spoof un vero rivenditore di solito fallirà DKIM o proverrà da un dominio che non si allinea. La bella scheda non può mentire sulle date di consegna; gli header non possono mentire su chi l'ha inviata. Strumenti che leggono questi header per te, incluso il rilevamento di truffe in email AI come xmail, controllano la stessa cosa, solo più velocemente di quanto faresti a mano.

Cosa dovresti fare quando una scheda pacco sorpresa appare?

Fidati del tracciamento che hai avviato tu, non del tracciamento che è arrivato senza invito. Se una scheda sostiene una consegna che non ricordi di aver ordinato, non toccare il suo link. L'URL di tracciamento all'interno del markup contraffatto è il punto intero della truffa, spesso portando a una pagina "paga questa tassa doganale" o "conferma il tuo indirizzo" che raccoglie i dettagli della carta. L'U.S. Postal Inspection Service e la FTC hanno entrambi avvertito ripetutamente di SMS e email di consegna falsi che fanno esattamente questo.

Invece, vai direttamente al rivenditore o al corriere, digita l'indirizzo stesso, e incolla il numero di tracciamento lì. Se l'ordine non esiste nel tuo account reale, la scheda era teatro. E se vuoi un indizio prima ancora di cliccare: un'email di spedizione genuina arriva quasi sempre da un dominio con cui hai transazioni e supera DMARC. Una contraffatta è spesso inviata da un dominio simile che fallisce l'allineamento, con una scheda sopra come un'uniforme presa in prestito.