すべてのスパムテストに合格した偽のインボイス

何度も支払いを済ませている取引先から新しいインボイスのメールが届く。ロゴも同じ、アカウントマネージャーも同じ、丁寧な署名も同じ。唯一の違いはメールのヘッダーに埋もれた1行だ。その1行があなたの$48,000の支払いを別の国の他人の口座へ転送してしまう。

これがインボックス詐欺について誰も警告しない部分だ。危険なインボイスは雑なものではない。きれいなものなのだ。実在するビジネスメールアカウントに侵入したスカマーは何も偽造する必要がない。メールは本物のドメインから送られ、本物の鍵で署名されている。SPFは通過する。DKIMは通過する。DMARCは通過する。スパムフィルターは肩をすくめて通す。数学的には正当なメールだからだ。それは本当だ。ただ、送信者が間違った人間なだけなのだ。

これが、ビジネスメール侵害が最も高額な詐欺である理由であり、それは顕著だ。FBIのインターネット犯罪苦情センターは2023年だけで、およそ$2.9 billionのBEC損失を記録した。自動化されたあらゆる尺度で完全に正当に見えるメールの力に基づいて送金された送金である。マルウェアはない。怪しいリンクもない。支払い詳細を更新するよう求める信じやすいリクエストだけが、静かにハイジャックされたインボックスから送られてきたのだ。

では、スパムスコアがあなたを救わないとすれば、何があなたを救うのか？

1分以内に読める2つのヘッダー行だ。Reply-ToとReturn-Pathである。

ここに、平たく言うと、その違いがある。Fromアドレスは封筒の表面に見えるものだ。Return-Pathは配信に失敗した場合のバウンスメッセージの送信先である。つまり受信サーバーが実際に気にかけている技術的な「送信者」だ。Reply-Toはボタンを押したときにあなたの返信が静かに送信されるアドレスである。DMARC.orgが説明しているように、これらは正当に異なることがあり、これがそれを見破るための手がかりとして有用にする。取引先からの正当なメールでは、通常これら3つはすべて同じドメインで揃っている。アカウント侵害詐欺では、攻撃者は多くの場合Fromに手をつけない。本物に見える必要があるからだ。しかしReply-Toにどこか別の場所を指すようにこっそり仕込む。accounts@yourvendor.comが表面で、accounts.yourvendor@gmail.comが返信先だ。異なるドメイン。時には1文字だけ異なることもある。

攻撃者がこれをする理由は単純だ。彼らは今、侵害されたメールボックスを管理しているかもしれない。しかし彼らは、実在する従業員が気づくかもしれない、自分で送ったことのないインボイスが本来の所有者のインボックスに戻ってくることを望まない。だから彼らは完全にコントロールしているアドレスに会話をリダイレクトする。このリダイレクトが指紋だ。

これを見つけるには約20秒かかる。Outlookではメッセージを開き、File → Propertiesを使ってインターネットヘッダーを確認する。Microsoftはすべての行を読みたい場合に備えて完全なヘッダー形式を文書化している。Gmailでは3ドットメニューをクリックしてShow originalを選ぶ。Reply-To:とReturn-Path:をスキャンする。どちらかが送信者のドメイン以外のドメインを指していたり、メッセージに印刷されているものではなく、企業向けメールではなく無料のウェブメールアカウントを指していたりしたら、止めること。そのメールに返信してはいけない。メッセージに印刷されている番号ではなく、すでに持っている番号で取引先に電話する。

これらのいずれも技術的である必要はない。これはアラームを鳴らさないメールに対して疑わしくあることを必要とする。フィルターからの緑色のチェックマークはメッセージが偽造されなかったことを意味する。それを送ったアカウントの鍵を誰が持っているのかについては何も言わない。

2024年にアカウントを枯渇させる詐欺は詐欺のように見えない。火曜日のように見える。嘘はまだヘッダーの中で生きなければならない。