Gmail czyta twoje paragony zanim je otworzysz, a oszuści o tym wiedzą

Czytelna kartka u góry skrzynki odbiorczej pokazująca, że twoja zamówienie z Amazon dotrze w czwartek, nie powstała dzięki AI czytającemu myśli. Gmail znalazł blok markup schema.org, który nadawca ukrył w HTML-u e-maila, go przeanalizował i narysował dla ciebie kartę. Co oznacza, że oszust, który wklei ten sam markup, może sprawić, że fałszywe zamówienie będzie wyglądało dokładnie tak samo potwierdzane jak prawdziwe.

Skąd Gmail wie, że pakiet już jedzie, zanim przeczytasz e-mail?

Nadawca mu to mówi, w języku zrozumiałym dla maszyn, który Gmail prosi go używać. Dokumentacja Google'a dla deweloperów dotycząca markup e-maili jest jasna: sprzedawcy i linie lotnicze osadzają dane strukturalne używając słownika schema.org, jako JSON-LD lub microdata, wewnątrz HTML e-maila. Potwierdzenie zamówienia zawiera obiekt Order z polami takimi jak orderNumber, orderStatus i zagnieżdżonym ParcelDelivery z expectedArrivalUntil i URL śledzenia. Lot zawiera FlightReservation z lotniskiem wylotu, bramką, czasem boardingu.

Parser Gmail'a czyta te pola i renderuje je jako wyróżnienia u góry skrzynki odbiorczej i wewnątrz wiadomości. Żaden AI nie „rozumie" twoich planów podróży. Czyta oznaczone dane tak, jak przeglądarka czyta pole adresu. Inteligencja tkwi niemal całkowicie w HTML-u nadawcy, a nie w czarnej skrzynce Google'a.

Dlaczego to sprawia, że fałszywe zamówienia są bardziej przekonujące, a nie mniej?

Dlatego że markup to tylko tekst, a tekst się kopiuje. Nie ma żadnego kryptograficznego powiązania między „ta kartka mówi, że twoje zamówienie wysłane" a „to zamówienie jest prawdziwe". Proces rejestracji schema Google'a sprawdza wielkość i formatowanie nadawcy zanim włączy bogate karty na dużą skalę, ale underlying JSON-LD siedzi widoczny dla wszystkich w każdym potwierdzeniu, które kiedyś otrzymałeś. Otwórz jedno, wyświetl źródło i oto jest.

Oszust skrąba ten blok, zamienia link śledzenia i numer zamówienia na swoje, i wysyła. Jeśli wiadomość przejdzie uwierzytelnianie, Gmail może chętnie narysować czytelną kartę „będzie tu niedługo" ponad e-mail, który jest czystą przynętą. Zaufanie wizualne, które nagromadziłeś przez sto prawdziwych dostaw, zostaje pożyczone za darmo. Kartka wygląda oficjalnie, bo format jest oficjalny. Zawartość to wszystko, co wpisał nadawca.

Co naprawdę rozróżnia prawdziwe potwierdzenie od sfałszowanego?

Nie kartka. Nagłówki uwierzytelniania pod nią. Trzy kontrole decydują, czy nadawca to osoba, za którą się podaje: SPF potwierdza, że serwer wysyłający jest autoryzowany dla domeny, DKIM to kryptograficzny podpis na treści wiadomości, a DMARC mówi odbiorcom, co robić, gdy SPF lub DKIM zawodzą. Google i Yahoo uczynili to obowiązkowe dla każdego wysyłającego ponad 5000 wiadomości dziennie do swoich użytkowników począwszy od lutego 2024. Nadawcy masowi bez ważnego DMARC są odrzucani lub lądują w śmietniku.

To warstwa warta zaufania, a to ta, którą żadna kartka ci nie pokazuje. W Gmailu otwórz wiadomość, naciśnij menu z trzema kropkami, wybierz „Pokaż oryginał" i szukaj PASS na SPF, DKIM i DMARC. Sfałszowany e-mail „zamówienie wysłane" podszywający się pod prawdziwego sprzedawcę zwykle zawiedzie DKIM lub będzie pochodzić z domeny, która się nie wyrównuje. Ładna kartka nie może kłamać o datach dostawy; nagłówki nie mogą kłamać o tym, kto go wysłał. Narzędzia, które czytają te nagłówki za ciebie, w tym flagowanie oszustw w AI e-mailu takim jak xmail, sprawdzają to samo, tylko szybciej niż robiłbyś to ręcznie.

Co powinieneś zrobić, gdy pojawi się niespodziewana kartka pakietu?

Ufaj śledzeniu, które sam zainicjowałeś, a nie śledze, które przyszły niezapowiedziane. Jeśli kartka twierdzi, że dostarczenie, którego nie pamiętasz zamówienia, nie dotykaj jej linku. URL śledzenia wewnątrz sfałszowanego markup to cały punkt oszustwa, prowadzący często do strony „zapłać tę opłatę celną" lub „potwierdź swój adres", która zbiera dane karty. Urząd Inspekcji Poczty USA i FTC wielokrotnie ostrzegały o fałszywych SMS-ach i e-mailach z dostawami robią dokładnie to.

Zamiast tego idź bezpośrednio do sprzedawcy lub przewoźnika, wpisz adres sam i wklej numer śledzenia tam. Jeśli zamówienie nie istnieje na twoim prawdziwym koncie, kartka była tylko teatrem. A jeśli chcesz wskazówki zanim nawet klikniesz: prawdziwy e-mail wysyłki prawie zawsze pochodzi z domeny, z którą transakcjonowałeś i przechodzi DMARC. Sfałszowany często wysyłany z domeny lookalike, która zawiedzie wyrównanie, z kartą siedzącą na wierzchu jak pożyczona koszulka munduru.