Szef Ci nie maił. AI wytrenowany na jego trzech ostatnich odpowiedziach – tak.

Dawnym znakiem rozpoznawczym fałszywego maila od szefa były błędy gramatyczne i dziwny powitania. Ten znak zniknął. Narzędzia generatywne wchłaniają teraz skrapowany wątek e-mail i naśladują dokładny rytm, interpunkcję i podpis kolegi, dlatego Business Email Compromise wciąż wysusza firmy — Internetowe Centrum Skarżenia Criminalnego FBI zanotowało w samym 2023 roku 2,9 miliarda dolarów strat zgłoszonych z tytułu BEC. Jedyną niezawodną obronę, jaka pozostała, jest przeniesienie rozmowy na inny kanał komunikacji zanim podejmiesz działanie.

Dlaczego nie mogę ufać e-mailowi, który brzmi dokładnie jak mój kierownik?

Ponieważ „brzmi jak on" to teraz najłatwiejsza do sfałszowania część. BEC używał kiedyś przejętego lub fałszywego adresu w połączeniu z niezgrabnymi tekstami; niezręczne sformułowania były wskazówką. Podaj dużemu modelowi językowemu trzy rzeczywiste odpowiedzi od kogoś, a będzie pasować do jego rytmu — sposób, w jaki zaczyna od „Cześć", pomija interpunkcję pospieszu, podpisuje się tylko pierwszą literą imienia. Atakujący zdobywają te odpowiedzi z przejętej skrzynki pocztowej, przekazanego wątku lub łańcucha reply-all, który przedostał się poza firmę.

Raport Verizon's 2024 Data Breach Investigations Report stwierdził, że element ludzki był zaangażowany w około 68% naruszeń, przy czym inżynieria społeczna i pretekstowanie były dominującymi wzorcami. Styl nie jest już dowodem. Osoba, która pisze jak Twój CFO, może być modelem wytrenowanym na piętnastu minutach skrzynki nadchodzącej Twojego CFO.

Jak wygląda jedno z tych ulepszonego fałszerstw?

Wygląda jak krótkie, wiarygodne, lekko pilne żądanie, które pasuje do rzeczywistej rozmowy już w toku. Klasyczny ruch: odpowiedź wrzucona do istniejącego wątku o płatności dostawcy, z nowymi instrukcjami przelewu i linią w rodzaju „bank zablokował stare konto, użyj tego". Bez literówek, prawidłowe nazwy projektów, rzeczywiste tyki mowy Twojego szefa.

Technicznym hakiem jest fakt, że wyświetlana nazwa może być doskonała, a domena wysyłająca jest opóźniona o znaki — @company-invoices.com zamiast @company.com — lub Reply-To dyskretnie wskazuje gdzie indziej. Tutaj pomaga uwierzytelnianie: wiadomość, która nie przejdzie wyrównania SPF, DKIM lub DMARC, jest podejrzana niezależnie od tego, jak humanitarnie brzmi. Narzędzia do obsługi poczty AI, w tym flaging oszustw i oszustw na fakturach wbudowany w AI email with scam flagging, automatycznie sprawdzają te nagłówki, bo osoba przeszukująca na telefonie nigdy tego nie zrobi.

Jak więc faktycznie zweryfikuję żądanie, któremu nie mogę ufać prima facie?

Zmień kanał i potwierdź przez taki, który już znasz, a nie taki, który e-mail Ci dał. Jeśli e-mail prosi o pieniądze lub dane uwierzytelniające, zadzwoń do osoby pod numerem z Twoich kontaktów lub katalogu firmy — nigdy pod numerem z podpisu. Podejdź do jej biurka. Wyślij jej wiadomość na wewnętrznym narzędziu czatu. Całe oszustwo zależy od tego, że pozostaniesz w e-mailu, gdzie atakujący kontroluje obie strony.

Uczyń z tego regułę, a nie osąd. Każda zmiana płatności, każdy przelew, każny nowy szczegół bankowy otrzymuje potwierdzenie za pośrednictwem drugiego kanału — kropka — IC3 konsekwentnie rekomenduje dokładnie to ustne potwierdzenie dla BEC. Reguły przetrwają zajęty wtorek; instynkty nie. I przestań traktować przekonujący styl pisania jako dowód czegokolwiek. Jedną rzeczą, którą model wytrenowany na skrapowanych odpowiedziach nie może sfałszować, jest Twój szef odbierający telefon i mówiący, że nigdy tego nie wysłał.