De e-mailheader die je antwoord rechtstreeks naar een dief stuurt

Dit is een oplichting die Amerikaanse bedrijven meer geld kost dan ransomware, malware en datalekken samen, en meestal zonder enige malware. Geen kwaadaardige link. Geen besmet bijlage. Niets wat je antivirus kan pakken. Gewoon een e-mail die lijkt afkomstig van je CFO, en een antwoord dat stilletjes ergens anders terechtkomt.

Dat ergens anders is de truc. En het zit in een headerveld dat bijna geen enkele e-mailclient je laat zien.

Het veld heet Reply-To. Het maakt sinds het begin deel uit van de internetmailstandaard — RFC 5322 definieert het als het adres waar reacties "zouden" moeten gaan, gescheiden van het From-adres. Bij legitiem gebruik is het saai en handig. Een nieuwsbrief wordt verzonden vanuit noreply@company.com maar stelt Reply-To in op support@company.com zodat je vragen bij een mens terechtkomen. Dat is het. Dat is het eerlijke werk.

Business email compromise verandert dat gemak in een wapen. In plaats van het moeilijke, technische werk van het vervalsen van een From-adres — wat SPF-, DKIM- en DMARC-alarmen triggert en wordt gemarkeerd — registreert de aanvaller gewoon een look-alike-domein of een wegwerpgmail. Vervolgens stellen zij de weergavenaam in op "Karen Vasquez, CFO" zodat je inbox een vertrouwde mensennaam in vet toont. Het werkelijke From-adres kan karen.vasquez.finance@gmail.com zijn, maar dat zie jij niet; jij ziet "Karen Vasquez." En cruciaal: zij stellen de Reply-To in op een adres dat zij controleren.

Je leest de e-mail. Het is kort, aannemelijk, een beetje dringend. "Ben je aan je bureau? Ik moet je vragen een overschrijving uit te voeren voordat de bank sluit." Je klikt op antwoord. Je client, nuttig als altijd, adresseert je reactie aan de Reply-To — niet aan de From. Je bent nu in contact met de aanvaller, en elk bericht dat je verzendt bevestigt dat je erin bent getrapt.

De schaal hiervan is geen afrondingsfout. Het FBI's Internet Crime Complaint Center registreerde $2.9 miljard aan gerapporteerde BEC-verliezen in 2023 alleen, verdeeld over meer dan 21.000 klachten. Dat is het gerapporteerde getal, van mensen die het opmerkten en aangifte deden. Het werkelijke cijfer is groter, omdat een overschrijving die wordt verwerkt er op dinsdag uitziet als een normale dag tot aan de afstemming.

Wat dit maddening maakt, is dat de verdediging er gewoon is en verborgen. Elke mailclient kent de Reply-To-waarde. Bijna geen enkele toont het. Gmail vouwt de afzender in elkaar tot een weergavenaam en een klein pijltje dat je moet aanklikken. Outlook verbergt de werkelijke adressen onder "Bron weergeven" of een eigenschappendialoogvenster dat de meeste mensen nooit hebben geopend. Het enige veld dat de zwendel onthult, is het ene veld dat de interface als onnodig afval behandelt.

Train dus deze gewoonte aan. Voordat je op iets reageert met betrekking tot geld, gewijzigde bankgegevens of dringendheid, vouw je de header uit. Klik in Gmail op de pijl omlaag naast de naam van de afzender en lees de werkelijke "reply-to"-regel. Als de From het ene zegt en de Reply-To naar een ander postvak wijst, stop dan. Die mismatch is zelden onschuldig in een financiële e-mail.

Nog beter: beantwoord helemaal niet. Start een nieuw bericht naar het adres dat je al hebt opgeslagen voor die persoon, of bel een nummer dat je niet uit de e-mail hebt gekregen. Aanvallers rekenen erop dat je in de thread blijft die zij hebben opgebouwd.

De grimmige elegantie van deze oplichting is dat het elke geautomatiseerde controle doorstaat door geen regel te breken. Het From-adres is technisch echt. Het domein verifieert prima. Niets is vervalst. De leugen zit niet in de leidingen — hij zit in de ene regel die je software besloten heeft dat je niet hoefde te zien.