Gmail leest je bonnetjes voordat jij ze opent, en oplichters weten dat

Die nette kaart bovenaan je inbox met de mededeling dat je Amazon-bestelling donderdag aankomt, is niet uit het niets tevoorschijn getoverd door een AI die je gedachten leest. Gmail heeft een blok schema.org-markup gevonden dat de afzender in de HTML van het bericht verstopt had, het geanalyseerd, en de kaart voor je getekend. Wat betekent dat een oplichter die dezelfde markup plakt een nep-bestelling precies even bevestigd kan laten uitzien als een echte.

Hoe weet Gmail dat een pakket aankomt voordat je de e-mail leest?

De afzender vertelt het, in een machinetaal die Gmail hem vraagt te spreken. De developer-docs van Google voor e-mailmarkup zijn expliciet: detailhandels en luchtvaartmaatschappijen bedden gestructureerde gegevens in met behulp van schema.org-vocabulaire, ofwel als JSON-LD ofwel als microdata, binnenin de bericht-HTML. Een orderbevestiging bevat een Order-object met velden als orderNumber, orderStatus, en een geneste ParcelDelivery met expectedArrivalUntil en een tracking-URL. Een vlucht bevat een FlightReservation met de vertrekairport, gate en inchecktime.

Gmails parser leest die velden en renderend ze als highlights bovenaan de inbox en binnen het bericht. Er is geen AI die je reisplannen "begrijpt". Het leest gelabelde gegevens op dezelfde manier waarop een browser een adresveld leest. De intelligentie zit bijna volledig in de HTML van de afzender, niet in Googles blackbox.

Waarom maakt dat nep-bestellingen overtuigender in plaats van minder overtuigend?

Omdat de markup gewoon tekst is, en tekst kopieert. Er is geen cryptografische band tussen "deze kaart zegt dat je bestelling verzonden is" en "deze bestelling is echt". Googles schema-registratieproces controleert het volume en de opmaak van een afzender voordat het rich cards op schaal inschakelt, maar de onderliggende JSON-LD zit in volledig zicht in elk legitiem bevestigingsbericht dat je ooit hebt ontvangen. Open er een, bekijk de bron, en daar is het.

Een oplichter scrapt dat blok, vervangt hun eigen tracking-link en een nep-ordernummer, en verstuurt het. Als het bericht authenticatie passeert, kan Gmail blij een glanzende "komt binnenkort aan"-kaart tekenen boven een e-mail die puur een lokkertje is. Het vertrouwen dat je hebt opgebouwd over honderd echte leveringen wordt gratis geleend. De kaart ziet er officieel uit omdat de opmaak officieel is. De inhoud is wat de afzender maar getypt heeft.

Wat onderscheidt een echte bevestiging eigenlijk van een vervalste?

Niet de kaart. De authenticatieheaders eronder. Drie controles bepalen of een afzender is wie hij beweert te zijn: SPF bevestigt dat de verzendserver gemachtigd is voor het domein, DKIM is een cryptografische handtekening op de berichttekst, en DMARC zegt ontvangers wat ze moeten doen wanneer SPF of DKIM mislukken. Google en Yahoo maakten dit verplicht voor iedereen die meer dan 5.000 berichten per dag naar hun gebruikers verstuurt vanaf februari 2024. Bulk-afzenders zonder geldige DMARC worden afgewezen of in de spam geplaatst.

Dat is de laag die vertrouwen waard is, en het is de laag die geen kaart je toont. Open in Gmail het bericht, klik het menu met drie punten, kies "Origineel weergeven", en zoek naar PASS op SPF, DKIM, en DMARC. Een vervalst "bestelling verzonden"-bericht dat een echte detailhandelaar vermomt zal meestal DKIM mislopen of afkomstig zijn van een domein dat niet aansluit. De mooie kaart kan niet liegen over afleverdata; de headers kunnen niet liegen over wie het verstuurd heeft. Tools die die headers voor je lezen, inclusief het scam-flaggen in AI-e-mail zoals xmail, controleren hetzelfde, alleen sneller dan je het met de hand zou doen.

Wat moet je doen wanneer een onverwachte pakketkaart verschijnt?

Vertrouw de tracking die je zelf ingeleide, niet de tracking die onverwacht arriveerde. Als een kaart een levering claimt die je niet herinnert te hebben besteld, tik dan niet op de link. De tracking-URL binnenin vervalste markup is het hele doel van de oplichterij, wat vaak leidt naar een "betaal deze douanebelasting" of "bevestig je adres"-pagina die kaartgegevens afrooft. De U.S. Postal Inspection Service en de FTC hebben beide herhaaldelijk gewaarschuwd voor nep-bezorgings-sms en e-mails die precies dit doen.

Ga in plaats daarvan rechtstreeks naar de detailhandelaar of vervoerder, typ het adres zelf, en plak het trackingnummer daar. Mocht de bestelling niet in je echte account voorkomen, dan was de kaart theater. En als je een aanwijzing wilt hebben voordat je zelfs maar klikt: een echte verzend-e-mail komt bijna altijd van een domein waarmee je zaken hebt gedaan en slaagt DMARC. Een vervalste wordt regelmatig verzonden van een lookalike-domein dat alignmentfalen veroorzaakt, met een kaart erop als een geleend uniform.