Nagłówek e-maila, który wysyła Twoją odpowiedź wprost do złodzieja

Oto scam, który kosztuje amerykańskie firmy więcej pieniędzy niż oprogramowanie ransomware, malware i naruszenia danych razem wzięte, i zwykle w ogóle nie wiąże się z żadnym malware. Brak złośliwego linku. Brak zainfekowanego załącznika. Nic, co Twoje oprogramowanie antywirusowe mogłoby złapać. Tylko e-mail, który wygląda na to, że pochodzi od Twojego CFO, i odpowiedź, która po cichu trafia gdzieś indziej.

Ten gdzieś indziej to zwrot. I znajduje się w polu nagłówka, które prawie żaden klient poczty e-mail Ci nie pokazuje.

Pole to nosi nazwę Reply-To. Jest częścią standardu internetowej poczty od samego początku — RFC 5322 definiuje je jako adres, na który odpowiedzi "powinny" trafiać, oddzielnie od adresu From. W legalnym użyciu to nudne i pomocne. Biuletyn wysyłany z noreply@company.com ale ustawia Reply-To na support@company.com, aby Twoje pytania trafiały do człowieka. Tyle. To uczciwa praca.

Kompromitacja poczty biznesowej zamienia tę wygodę w broń. Zamiast trudnej, technicznej pracy polegającej na podrobaniu adresu From — co powoduje alarmy SPF, DKIM i DMARC i zostaje oflagowane — atakujący po prostu rejestruje domenę wyglądającą podobnie lub jednorazowy Gmail. Następnie ustawia nazwę wyświetlaną na "Karen Vasquez, CFO", aby Twoja skrzynka pokazywała znane nazwisko człowieka pogrubioną czcionką. Rzeczywisty adres From może być karen.vasquez.finance@gmail.com, ale tego nie widzisz; widzisz "Karen Vasquez". I co kluczowe, ustawiają Reply-To na adres, którym sterują.

Więc czytasz e-mail. Jest krótki, wiarygodny, trochę pilny. "Jesteś przy biurku? Muszę, żebyś przetworzył przelew, zanim bank się zamknie". Klikasz odpowiedź. Twój klient, chcąc być pomocny, kieruje Twoją odpowiedź do Reply-To — nie do From. Teraz rozmawiasz z atakującym, a każda wiadomość, którą wysyłasz, potwierdza, że wpadłeś w pułapkę.

Skala tu nie jest błędem zaokrąglenia. Internet Crime Complaint Center FBI zanotował $2.9 miliarda w zgłoszonych stratach BEC w samym 2023 roku, na ponad 21 000 skargach. To liczba zgłoszona, od ludzi, którzy zauważyli i złożyli zawiadomienie. Rzeczywista liczba jest większa, ponieważ przelew, który zostaje zrealizowany, wygląda jak zwyczajny wtorek aż do uzgodnienia.

To, co jest szalone, to jak obrona jest tuż tam i ukryta. Każdy klient poczty zna wartość Reply-To. Prawie żaden jej nie wyświetla. Gmail zwijało nadawcę do nazwy wyświetlanej i małego karetki, którą musisz kliknąć. Outlook ukrywa rzeczywiste adresy pod "View source" (Wyświetl źródło) lub dialogiem właściwości, które większość ludzi nigdy nie otwierała. Jedno pole, które ujawnia oszustwo, to pole, które interfejs traktuje jako bałagan.

Więc wyrabiaj sobie nawyk. Zanim odpowiadasz na cokolwiek dotyczącego pieniędzy, zmienionych danych bankowych lub pilności, rozwiń nagłówek. W Gmailu kliknij strzałkę w dół obok nazwy nadawcy i przeczytaj rzeczywistą linię "reply-to". Jeśli From mówi jedno, a Reply-To wskazuje na inną skrzynkę pocztową, zatrzymaj się. Ta niezgodność rzadko jest niewinna w e-mailu finansowym.

Jeszcze lepiej, w ogóle nie odpowiadaj. Zacznij świeżą wiadomość na adres, który masz już zapisany dla tej osoby, lub zadzwoń numerem, którego nie otrzymałeś z e-maila. Atakujący liczą na to, że pozostaniesz w wątku, który zbudowali.

Ponura elegancja tego scamu polega na tym, że przechodzi każde zautomatyzowane sprawdzenie, nie łamiąc żadnej reguły. Adres From jest technicznie rzeczywisty. Domena autentykuje się bez problemu. Nic nie jest sfałszowane. Kłamstwo nie jest w urządzeniach — jest w jednej linii, którą Twoje oprogramowanie zdecydowało, że nie musisz widzieć.