L'intestazione email che invia la tua risposta direttamente a un ladro

Ecco una truffa che costa alle aziende americane più denaro di ransomware, malware e violazioni di dati messi insieme, e di solito non comporta alcun malware. Nessun link dannoso. Nessun allegato infetto. Niente che il tuo antivirus possa catturare. Solo un'email che sembra provenire dal tuo CFO, e una risposta che tranquillamente va da un'altra parte.

Quell'altra parte è il trucco. E vive in un campo intestazione che quasi nessun client di posta ti mostra.

Il campo si chiama Reply-To. Fa parte dello standard di posta internet da sempre — RFC 5322 lo definisce come l'indirizzo dove le risposte "dovrebbero" andare, separato dall'indirizzo From. Nell'uso legittimo è noioso e utile. Una newsletter è inviata da noreply@company.com ma imposta Reply-To a support@company.com così le tue domande arrivano a una persona. Tutto qui. Questo è il lavoro onesto.

Il compromesso della posta aziendale trasforma quella comodità in un'arma. Invece del lavoro difficile e tecnico di falsificare un indirizzo From — che attiva allarmi SPF, DKIM e DMARC e viene contrassegnato — l'attaccante semplicemente registra un dominio simile o un Gmail usa e getta. Poi imposta il nome visualizzato a "Karen Vasquez, CFO" così la tua posta in arrivo mostra un nome umano familiare in grassetto. L'indirizzo From effettivo potrebbe essere karen.vasquez.finance@gmail.com, ma non lo vedi; vedi "Karen Vasquez". E crucialmente, impostano Reply-To a un indirizzo che controllano.

Quindi leggi l'email. È breve, plausibile, un po' urgente. "Sei alla tua scrivania? Ho bisogno che elabori un trasferimento prima che la banca chiuda". Premi reply. Il tuo client, essendo utile, indirizza la tua risposta al Reply-To — non al From. Adesso stai comunicando con l'attaccante, e ogni messaggio che invii conferma che hai preso l'amo.

La scala qui non è un errore di arrotondamento. L'Internet Crime Complaint Center dell'FBI ha registrato $2.9 miliardi in perdite BEC segnalate nel 2023 da solo, su più di 21.000 reclami. Questo è il numero segnalato, da persone che hanno notato e depositato. La cifra reale è più grande, perché un trasferimento che si autorizza sembra un martedì normale fino alla riconciliazione.

Quello che rende questo frustrante è il fatto che la difesa è proprio lì e nascosta. Ogni client di posta conosce il valore Reply-To. Quasi nessuno lo evidenzia. Gmail collassa il mittente in un nome visualizzato e un piccolo carets che devi cliccare. Outlook nasconde gli indirizzi reali sotto "Visualizza sorgente" o una finestra di dialogo delle proprietà che la maggior parte delle persone non ha mai aperto. L'unico campo che rivela la truffa è l'unico campo che l'interfaccia tratta come disordine.

Quindi allena l'abitudine. Prima di rispondere a qualsiasi cosa che coinvolga denaro, dettagli bancari modificati o urgenza, espandi l'intestazione. In Gmail, fai clic sulla freccia in giù accanto al nome del mittente e leggi la riga effettiva "reply-to". Se il From dice una cosa e Reply-To punta a una casella di posta diversa, fermati. Quella mancata corrispondenza raramente è innocente in un'email di finanza.

Meglio ancora, non rispondere affatto. Avvia un nuovo messaggio all'indirizzo che hai già salvato per quella persona, oppure chiama un numero che non hai ricevuto dall'email. Gli attaccanti contano sul fatto che tu rimanga dentro il thread che hanno costruito.

L'eleganza cupa di questa truffa è che supera ogni controllo automatizzato non violando alcuna regola. L'indirizzo From è tecnicamente reale. Il dominio si autentica correttamente. Niente è falsificato. La bugia non è nei meccanismi — è nella linea che il tuo software ha deciso che non avevi bisogno di vedere.