ペイロードなしの詐欺：「Hi, are you free?」がすべてのトリックである理由

あなたの上司が決して送信していない最も危険なメールには、リンクも添付ファイルもなく、銀行の警告スペルミスもない。含まれているのは4つの単語だけだ：「Hi, are you free?」

それが詐欺だ。全部だ。そしてそれが機能するのは、あなたが持つすべての防御をすり抜けるよう設計されているからだ——あなた自身の直感さえも含めて。

メカニズムはこうだ。従来のフィッシングメールは武器を運ぶ：悪意のあるリンク、危険なPDF、偽のログインページ。あなたのスパムフィルター、メールゲートウェイ、そしてますます多くなっているAIスクリーニング層は、すべてそれらを嗅ぎ出すようにトレーニングされている。送信者をSPF、DKIM、DMARCレコードに照らし合わせてチェックする。添付ファイルをスキャンする。緊急性とペイメントリクエストの組み合わせにフラグを立てる。「Hi, are you free?」と言うメッセージは何も引っかかるものがないので、これらのどれにも該当しない。火曜日のような読み方だ。

ペイロードはメール内にはない。ペイロードはあなたの返信だ。

返信を書いたら——「Sure, what's up?」——攻撃者が必要とした2つのことをしたことになる。あなたはアカウントがアクティブで監視されていることを確認した。そしてあなたはあなたが今信頼を供給している者になっているスレッドを開いた。次のメッセージがそこで着地する。ほぼ常に小ぶりで、もっともらしく、時間制限のあるものだ：会議で立ち往生している、クライアント用のギフトカードをいくつか買ってくれないか、返金するからバックの番号をメールして。時には「新しいベンダー」への送金のこともある。ギフトカード版が人気なのは、ギフトカードが普通の従業員がCVSで買える追跡不可能な現金に最も近いものだからだ。

これはビジネスメール詐欺であり、限界的な問題ではない。FBI Internet Crime Complaint Centerは、2023年だけで、報告されたBEC損失として$2.9 billionをログに記録した——ほぼ完全にプレーンテキストメッセージで構成されたカテゴリー。スキャナーがテストするものがない——添付ファイルなし、リンクなし、マルウェアなし。FTC は別に、ギフトカードを詐欺師が要求する主要な支払い方法の1つとして追跡しており、毎年数億ドルがこの方法で失われている。これらは漫画のようなナイジェリア王子メールに引っかかっている人々ではない。彼らは自分たちが認識している名前からの通常のping に答えている有能な従業員だ。

そして名前はトリックの後半だ。実際の送信アドレスを見よう。表示名ではなく。攻撃者はそっくりなドメインを登録する——rnをmに置き換える、ハイフンを追加する、CEOの名前を「from」フィールドに入力した無料Gmailを使用する。表示名は偽造は無料だが、@の背後のドメインはそうではない。それがあなたの手がかりだ。「Dave Morgan, CEO」がdave.morgan.exec@gmail.comから書いているなら、Daveは新しいメールアドレスを取得していない。Daveは存在しない。

退屈なオープナーが派手なものに勝つ理由は、技術的ではなく心理的だ。お金への冷たい要求は疑いを引き起こす。温かく、リスクが低い質問は最初に関係を構築するので、お金が会話に入るまでに、あなたはすでにこの人が彼らが言う者であると決めている。詐欺はあなた自身の一貫性をあなたに対して利用する。

だから防御は悪いリンクを見つけることではない。なぜなら、そこにはリンクがないからだ。それはメッセージについてではなく、要求についてのルールだ：ギフトカード、送金、または通常のプロセス以外のチャネルを通じてルーティングされた支払いのリクエストはすべて帯域外で確認される。その人に電話する。メール署名の番号ではなく——あなたの携帯にある番号。彼らのデスクに行く。

詐欺師は、返信するのに十分な礼儀正しさと、チェックするのに十分な忙しさがあなたにあることを当てにしている。2番目の部分について彼らを間違わせ、最初の部分は重要でなくなる。

Correction, 21 October 2026. 以前のバージョンでは、これらのメッセージは「フィルターがフラグを立てないもの」だと述べていた——これは存在するすべてのフィルターについての主張であり、この記事が支持することはできない。FBIの数値が説明していること、そして議論が実際に必要とすることは、メッセージがスキャナーがテストするものを何も運んでいないということだ。