Gmail Lê Seus Recibos Antes de Você, e Golpistas Sabem Disso

Aquele cartão organizado no topo da sua caixa de entrada mostrando que seu pedido Amazon chegará quinta-feira não foi conjurado por uma IA lendo sua mente. Gmail encontrou um bloco de markup schema.org que o remetente enterrou no HTML do email, fez a análise dele e desenhou o cartão para você. O que significa que um golpista que cola o mesmo markup pode fazer um pedido falso parecer exatamente tão confirmado quanto um real.

Como Gmail sabe que um pacote está chegando antes de você ler o email?

O remetente avisa, em uma linguagem legível por máquina que Gmail pede para eles falarem. A documentação de desenvolvedores do Google para markup de email é explícita: varejistas e companhias aéreas incorporam dados estruturados usando vocabulário schema.org, seja como JSON-LD ou microdata, dentro do HTML da mensagem. Uma confirmação de pedido traz um objeto Order com campos como orderNumber, orderStatus e um ParcelDelivery aninhado com expectedArrivalUntil e uma URL de rastreamento. Um voo traz um FlightReservation com o aeroporto de partida, o portão, a hora do embarque.

O parser do Gmail lê esses campos e os renderiza como destaques no topo da caixa de entrada e dentro da mensagem. Nenhuma IA está "entendendo" seus planos de viagem. Está lendo dados etiquetados da forma que um navegador lê um campo de endereço. A inteligência está quase inteiramente no HTML do remetente, não na caixa preta do Google.

Por que isso torna pedidos falsos mais convincentes, não menos?

Porque o markup é apenas texto, e texto se copia. Não há nenhuma ligação criptográfica entre "este cartão diz que seu pedido foi enviado" e "este pedido é real". O processo de registro de schema do Google verifica o volume e a formatação do remetente antes de ativar cartões ricos em escala, mas o JSON-LD subjacente está à vista de todos em toda confirmação legítima que você já recebeu. Abra uma, veja o código-fonte, e lá está.

Um golpista raspa aquele bloco, troca o link de rastreamento dele e um número de pedido falso, e envia. Se a mensagem passar na autenticação, Gmail pode felizmente desenhar um cartão "chegando em breve" bem acima de um email que é puro isca. A confiança visual que você construiu em cem entregas reais é emprestada de graça. O cartão parece oficial porque o formato é oficial. O conteúdo é o que quer que o remetente tenha digitado.

O que realmente separa uma confirmação real de uma forjada?

Não o cartão. Os headers de autenticação abaixo dele. Três verificações decidem se um remetente é quem diz ser: SPF confirma que o servidor de envio é autorizado para o domínio, DKIM é uma assinatura criptográfica no corpo da mensagem, e DMARC avisa aos receptores o que fazer quando SPF ou DKIM falham. Google e Yahoo fizeram isso obrigatório para qualquer um enviando mais de 5.000 mensagens por dia para seus usuários a partir de fevereiro de 2024. Remetentes em massa sem DMARC válido são rejeitados ou colocados em spam.

Essa é a camada que vale a pena confiar, e é a que nenhum cartão mostra para você. Em Gmail, abra a mensagem, clique no menu de três pontos, escolha "Mostrar original" e procure PASS em SPF, DKIM e DMARC. Um email falso de "pedido enviado" que falsifica um varejista real normalmente falhará em DKIM ou virá de um domínio que não se alinha. O cartão bonito não pode mentir sobre datas de entrega; os headers não podem mentir sobre quem enviou. Ferramentas que leem esses headers para você, incluindo o sinalizador de golpes em email de IA como xmail, estão verificando a mesma coisa, apenas mais rápido do que você faria à mão.

O que você deve fazer quando um cartão de pacote surpresa aparece?

Confie no rastreamento que você iniciou, não no rastreamento que chegou sem aviso. Se um cartão afirma uma entrega que você não se lembra de ter pedido, não clique em seu link. A URL de rastreamento dentro do markup forjado é o ponto inteiro do golpe, frequentemente levando a uma página "pague esta taxa de alfândega" ou "confirme seu endereço" que coleta detalhes de cartão. O U.S. Postal Inspection Service e a FTC têm ambos avisado repetidamente sobre textos e emails de entrega falsa fazendo exatamente isso.

Em vez disso, vá ao varejista ou operadora diretamente, digite o endereço você mesmo, e cole o número de rastreamento lá. Se o pedido não existir em sua conta real, o cartão foi apenas teatro. E se você quer um sinal antes de clicar sequer: um email de envio genuíno quase sempre vem de um domínio com o qual você já transacionou e passa em DMARC. Um falso é frequentemente enviado de um domínio parecido que falha no alinhamento, com um cartão em cima como um uniforme emprestado.