De Nepfactuur Die Elke Spamtest Doorstond

Een leverancier aan wie je al een dozijn keer hebt betaald stuurt een nieuwe factuur. Hetzelfde logo, dezelfde accountmanager, dezelfde beleefde afsluiting. Het enige verschil is één regel ergens diep in de headers van de e-mail — en die regel leidt je $48.000 betaling gewoon om naar een vreemde in een ander land.

Dit is het onderdeel van inbox-fraude waar niemand je voor waarschuwt: de gevaarlijke facturen zijn niet de slordig gemaakte. Het zijn de nette. Een oplichter die inbreekt in een echt zakelijk e-mailaccount hoeft niets te vervalsen. De mail vertrekt uit het echte domein, ondertekend met echte sleutels. SPF slaagt. DKIM slaagt. DMARC slaagt. Je spamfilter haalt zijn schouders op en laat het door, want vanuit wiskundig oogpunt is dit legitiem bericht. Dat is het ook. Het wordt alleen verstuurd door de verkeerde persoon.

Daarom is business email compromise de duurste scam die er is, en het verschil is enorm. Het FBI's Internet Crime Complaint Center registreerde ongeveer $2,9 miljard aan BEC-verliezen in 2023 alleen al — geldtransfers die vertrokken op basis van een e-mail die er volgens elke geautomatiseerde maatstaf helemaal correct uitzag. Geen malware. Geen dubieuze link. Gewoon een geloofwaardig verzoek om betalingsgegevens bij te werken, verzonden vanuit een inbox die stilletjes was gekaapt.

Dus als de spamscore je niet redt, wat dan wel?

Twee header-regels die je in minder dan een minuut kunt lezen: Reply-To en Return-Path.

Dit is het verschil, in eenvoudige bewoordingen. Het From-adres is wat je op de voorkant van de envelop ziet. Het Return-Path is waar bounceberichten heen gaan als bezorging mislukt — de technische "afzender" waar de ontvangende server werkelijk om geeft. En Reply-To is het adres waarheen je antwoord stilletjes wordt verstuurd wanneer je op de knop klikt. Zoals DMARC.org uitlegt, kunnen deze legaal verschillen, wat ze precies tot een verraad maakt. Bij eerlijke mail van een leverancier staan alle drie meestal onder hetzelfde domein. Bij een gekaapt-account scam laat de aanvaller de From vaak ongemoeid — deze moet er echt uitzien — maar voegt er stiekem een Reply-To in die ergens anders naar wijst. accounts@uwleverancier.com op de voorkant, accounts.uwleverancier@gmail.com op het antwoord. Ander domein. Soms slechts één karakter verschil.

De aanvaller doet dit om een eenvoudige reden. Ze controleren de gekaapt mailbox misschien op dit moment, maar ze willen niet dat je antwoord terugkomt in de inbox van de echte eigenaar, waar de echte werknemer een factuur zou kunnen opmerken die zij nooit hebben verstuurd. Ze leiden het gesprek dus om naar een adres dat zij volledig onder controle hebben. Die omleiding is de vingerafdruk.

Het vinden kost ongeveer 20 seconden. In Outlook open je het bericht en gebruik je File → Properties om de internetheaders te zien; Microsoft documenteert de volledige header-indeling als je elke regel wilt lezen. In Gmail klik je op het menu met drie puntjes en kies je Show original. Scan op Reply-To: en Return-Path:. Als een van beide naar een domein wijst dat niet van de afzender is — of naar een gratis webmailaccount wanneer je een zakelijk account zou verwachten — stop. Antwoord niet op de e-mail. Bel de leverancier op een nummer dat je al had, niet op een nummer dat in het bericht staat afgedrukt.

Niets hiervan vereist dat je technisch onderlegd bent. Het vereist dat je voorzichtig bent met precies de e-mails die geen alarmbellen doen afgaan. Een groen vinkje van je filter betekent dat het bericht niet is vervalst. Het zegt niets over wie de sleutels tot het account heeft dat het verstuurd.

De scams die rekeningen in 2024 leegpompen zien er niet uit als scams. Ze zien er uit als dinsdag. De header is waar de leugen nog steeds moet leven.