read receipts
Twój antywirus nigdy nie miał szans przeciwko pustej wiadomości
Oszustwo, które ubiegłego roku wyssało $2.9 miliarda od amerykańskich firm, nie zawierało żadnego wirusa. Zawierało linię tematu i przysługę.
Pracownik działu płac w średniej firmy otrzymuje email od CEO. Bez załącznika. Bez linku. Tylko pięć linii z prośbą o natychmiastowy transfer do nowego dostawcy przed północą, i proszę, trzymaj to w tajemnicy, zamykamy przejęcie. Przelewa $180,000. CEO nigdy tego nie wysłał. I każde oprogramowanie bezpieczeństwa, które firma kupiła, nie widziało niczego niepokojącego, ponieważ nie było nic do zobaczenia.
To jest business email compromise, i jest to najbardziej droga zbrodnia w twojej skrzynce odbiorczej ze zdecydowaną różnicą. Centrum raportowania zbrodni internetowych FBI zanotowało $2.9 miliarda w zgłoszonych stratach BEC tylko w 2023 roku. Ransomware, rzecz, o której wszyscy się martwią, rzecz z grafiką czaszek i licznikami odliczającymi? W tym samym roku zanotował około $59.6 miliona zgłoszonych strat. BEC pokonuje go prawie pięćdziesięciokrotnie. Jedno z nich trafia do nagłówków. Drugie zabiera twoje pieniądze.
Powód, dla którego antywirus tu zawodzi, jest prawie żenujący. Skanery złośliwego oprogramowania działają poprzez badanie kodu — załącznika, pliku wykonywalnego, makra ukrytego w arkuszu kalkulacyjnym. Porównują go ze znanymi złymi podpisami lub obserwują jego zachowanie w piaskownicy. Email BEC przekazuje im zwykłą notkę napisaną tonem twojego szefa. Nie ma ładunku do detonacji. Bronią jest zdanie.
Co oznacza, że obrona nie może być skanerem. Musi być nawykiem, a nawyk żyje w nagłówkach.
Oto znaka, którą większość ludzi nigdy nie szuka. Pole From i pole Reply-To to dwie różne rzeczy, a oszuści wykorzystują lukę. Linia From pokazuje nazwę i adres, któremu ufasz — ceo@yourcompany.com, napisany poprawnie. Ale w momencie, gdy klikniesz odpowiedź, wiadomość cicho kieruje się do ceo.finance@gmail-secure-mail.com lub jakiejś domeny jednorazowej, którą faktycznie kontroluje atakujący. Twoja odpowiedź, z potwierdzeniem transferu, leci prosto do przestępcy. Nazwa wyświetlana kłamała. Reply-To mówił prawdę.
Więc przyzwyczaj się do rozwinięcia nagłówka przed działaniem na podstawie jakiejkolwiek prośby o pieniądze. W Gmailu kliknij małą strzałkę pod nazwą nadawcy. W Outlooku otwórz szczegóły wiadomości. Jeśli Reply-To nie pasuje do From, zatrzymaj się. Jeśli domena jest o jeden znak inna — rn podając się za m, .co gdzie spodziewałeś się .com — zatrzymaj się.
Bardziej zaawansowana wersja nawet nie przejmuje się fałszowaniem własnej domeny. Podszywając się pod rzeczywistego dostawcę, któremu już płacisz. Atakujący siedzi na skompromitowanym koncie dostawcy przez tygodnie, czyta rzeczywisty wątek faktury, a następnie wysyła wiadomość w idealnym momencie: „Zaktualizowaliśmy nasze dane bankowe, proszę użyć nowego konta." Ta odmiana jest brutalna właśnie dlatego, że email jest autentyczny — pochodzi z rzeczywistej, skompromitowanej skrzynki odbiorczej dostawcy. SPF, DKIM i DMARC przechodzą czyszczej, ponieważ wiadomość rzeczywiście pochodzi stamtąd, gdzie twierdzi. Uwierzytelnianie potwierdza nadawcę. Nie może potwierdzić uczciwości nadawcy.
To jest niewygodna prawda pod spodem tego wszystkiego: cały przekręt opiera się na zaufaniu i pośpiechu, dwie rzeczy, które żadna baza danych sygnatury nie może zmierzyć. CEO, który „nigdy nie używa emaila w ten sposób" nagle robi. Dostawca, który rozliczał cię w ten sam sposób przez trzy lata, nagle zmienia konta. Żądanie zawsze przychodzi z powodem, którego nie możesz zweryfikować przed północą.
Więc zweryfikuj przez inny kanał. Zadzwoń na numer, który już masz — nie na ten w emailu. Dziesięciosekundowy telefon zniwelował transfery sześciocyfrowe bardziej niezawodnie niż jakikolwiek produkt z firewallem w nazwie. Oszuści stawiają się, że nie podejmiesz telefonu. Udowodnij im, że się mylą.