Fałszywa faktura, która zdała każdy test antyspamowyowy

Dostawca, któremu zapłaciłeś tuzin razy, przesyła nową fakturę. To samo logo, ten sam menedżer ds. konta, ten sam grzeczny podpis. Jedyną różnicą jest jedna linia ukryta w nagłówku wiadomości — i ta linia właśnie przekierowała Twoją płatność $48,000 do kogoś obcego w innym kraju.

To właśnie ta część oszustw na poczcie, przed którą nikogo nie ostrzega: niebezpieczne faktury nie są tymi niechlujnymi. To te czyste faktury. Oszust, który włamie się na prawdziwe konto mailowe firmy, nie musi niczego fałszować. Wiadomość wychodzi z autentycznej domeny, podpisana autentycznymi kluczami. SPF przechodzi. DKIM przechodzi. DMARC przechodzi. Twój filtr spamu wzrusza ramionami i przepuszcza ją, bo z punktu widzenia matematyki to wiadomość legalna. Nią jest. Tylko że wysyła ją zły człowiek.

Dlatego kompromitacja korporacyjnej poczty elektronicznej to najdroższe oszustwo, jakie istnieje, i wcale nie jest blisko drugiego. Internet Crime Complaint Center FBI zanotował około $2.9 miliarda strat z tytułu BEC w samym 2023 roku — przelewy, które opuściły skrzynkę na mocy wiadomości e-mail, która wyglądała, według każdej automatycznej miary, całkowicie porządnie. Bez złośliwego oprogramowania. Bez podejrzanego linku. Tylko wiarygodne żądanie zaktualizowania danych płatniczych, wysłane ze skrzynki, która została po cichu przejęta.

Więc jeśli wynik spamu Cię nie uratuje, co to robi?

Dwie linie nagłówka, które możesz przeczytać poniżej minuty: Reply-To i Return-Path.

Oto różnica, w jasnych słowach. Adres From to to, co widzisz na froncie koperty. Return-Path to miejsce, dokąd trafiają wiadomości o zwrocie, jeśli dostawa się nie powiedzie — techniczny „nadawca", na którym rzeczywiście zależy serwerowi odbierającemu. A Reply-To to adres, na który Twoja odpowiedź zostanie wysłana, gdy naciśniesz przycisk. Jak wyjaśnia DMARC.org, mogą się one zasadnie różnić, co dokładnie czyni je przydatnym wskaźnikiem. W uczciwej wiadomości od dostawcy wszystkie trzy zwykle są wyrównane pod tą samą domeną. W oszustwie z przejętym kontem atakujący często pozostawia From nietknięty — musi wyglądać realnie — ale wstawia Reply-To wskazujący gdzieś indziej. accounts@yourvendor.com na froncie, accounts.yourvendor@gmail.com na odpowiedź. Inna domena. Czasami różniąca się o jeden znak.

Atakujący robi to z prostego powodu. Mogą teraz kontrolować przejętą skrzynkę, ale nie chcą, żeby Twoja odpowiedź wróciła do skrzynki prawdziwego właściciela, gdzie rzeczywisty pracownik mógłby zauważyć fakturę, którą nigdy nie wysłał. Więc przekierowują rozmowę na adres, który w pełni kontrolują. To przekierowanie to odcisk palca.

Znalezienie go zajmuje około 20 sekund. W Outlooku otwórz wiadomość i użyj Plik → Właściwości, aby zobaczyć nagłówki internetu; Microsoft dokumentuje pełny format nagłówka, jeśli chcesz przeczytać każdą linię. W Gmailu naciśnij menu trzech kropek i wybierz Pokaż oryginał. Przeszukaj Reply-To: i Return-Path:. Jeśli którekolwiek z nich wskazuje domenę, która nie należy do nadawcy — lub bezpłatne konto webmail, gdy spodziewałbyś się korporacyjnego — zatrzymaj się. Nie odpowiadaj na wiadomość. Zadzwoń do dostawcy na numer, który już miałeś, a nie na ten wydrukowany w wiadomości.

Nic z tego nie wymaga od Ciebie bycia techniczny. Wymaga od Ciebie podejrzliwości dokładnie wobec wiadomości, które nie uruchamiają żadnych alarmów. Zielony znacznik wyboru od Twojego filtra oznacza, że wiadomość nie została sfałszowana. Nic nie mówi o tym, kto trzyma klucze do konta, które ją wysłało.

Oszustwa, które wyczerpują konta w 2024 roku, nie wyglądają jak oszustwa. Wyglądają jak wtorek. Nagłówek to miejsce, gdzie kłamstwo musi się jeszcze ukrywać.