O Cabeçalho de Email que Envia sua Resposta Direto para um Criminoso

Eis um golpe que custa às empresas americanas mais dinheiro do que ransomware, malware e violações de dados combinados, e geralmente não envolve malware algum. Sem link malicioso. Sem anexo infectado. Nada para seu antivírus detectar. Só um email que parece vir de seu CFO, e uma resposta que discretamente vai para outro lugar.

Esse outro lugar é o truque. E ele vive em um campo de cabeçalho que quase nenhum cliente de email mostra a você.

O campo se chama Reply-To. Faz parte do padrão de email da internet desde o início — RFC 5322 o define como o endereço para o qual respostas "devem" ir, separado do endereço From. Em uso legítimo é entediante e útil. Um boletim informativo é enviado de noreply@company.com mas define Reply-To para support@company.com para que suas dúvidas cheguem a um humano. Pronto. É o trabalho honesto.

Comprometimento de email corporativo transforma essa conveniência em uma arma. Em vez do trabalho técnico árduo de falsificar um endereço From — que dispara alarmes SPF, DKIM e DMARC e é sinalizado — o invasor simplesmente registra um domínio parecido ou um Gmail descartável. Depois define o nome de exibição como "Karen Vasquez, CFO" para que sua caixa de entrada mostre um nome humano familiar em negrito. O endereço From real pode ser karen.vasquez.finance@gmail.com, mas você não vê isso; você vê "Karen Vasquez." E crucialmente, eles definem o Reply-To para um endereço que controlam.

Então você lê o email. É curto, plausível, um pouco urgente. "Você está em sua mesa? Preciso que você processe uma transferência antes do banco fechar." Você clica em responder. Seu cliente, sendo útil, endereça sua resposta para Reply-To — não para o From. Você está agora conversando com o invasor, e cada mensagem que você envia confirma que você caiu na armadilha.

A escala aqui não é um erro de arredondamento. O Internet Crime Complaint Center do FBI registrou $2.9 bilhões em perdas de BEC reportadas somente em 2023, em mais de 21.000 reclamações. Esse é o número reportado, de pessoas que notaram e registraram. O número real é maior, porque uma transferência que é processada parece uma terça-feira normal até a reconciliação.

O que torna isso irritante é como a defesa está bem ali e escondida. Cada cliente de email conhece o valor Reply-To. Quase nenhum o expõe. Gmail colapsa o remetente em um nome de exibição e um pequeno acento circunflexo que você precisa clicar. Outlook enterra os endereços reais sob "Ver fonte" ou um diálogo de propriedades que a maioria das pessoas nunca abriu. O único campo que revela o golpe é o campo que a interface trata como bagunça.

Então treine o hábito. Antes de responder a qualquer coisa envolvendo dinheiro, detalhes bancários alterados ou urgência, expanda o cabeçalho. No Gmail, clique na seta para baixo ao lado do nome do remetente e leia a linha "reply-to" real. Se o From diz uma coisa e o Reply-To aponta para uma caixa de correio diferente, pare. Essa incompatibilidade é raramente inocente em um email de finanças.

Melhor ainda, não responda. Inicie uma nova mensagem para o endereço que você já tem salvo para essa pessoa, ou pegue o telefone e ligue para um número que você não obteve do email. Os invasores contam com você ficar dentro da conversa que construíram.

A elegância sombria desse golpe é que ele passa em toda verificação automatizada por não violar nenhuma regra. O endereço From é tecnicamente real. O domínio se autentica perfeitamente. Nada é falsificado. A mentira não está na estrutura — ela está na única linha que seu software decidiu que você não precisava ver.