A Fatura Falsa Que Passou em Todos os Testes de Spam

Um fornecedor que você já pagou uma dúzia de vezes envia uma fatura nova. Mesmo logo, mesmo gerente de conta, mesma despedida educada. A única diferença é uma linha escondida no cabeçalho do email — e essa linha redirecionou seu pagamento de $48.000 para um estranho em outro país.

Esta é a parte da fraude de inbox sobre a qual ninguém avisa: as faturas perigosas não são as desmazeladas. São as limpas. Um criminoso que invade uma conta de email real de uma empresa não precisa forjar nada. O email sai do domínio genuíno, assinado com chaves genuínas. SPF passa. DKIM passa. DMARC passa. Seu filtro de spam encolhe os ombros e deixa passar, porque matematicamente falando, este é email legítimo. É. Apenas está sendo enviado pela pessoa errada.

Por isso o comprometimento de email corporativo é o golpe mais caro que existe, e não é nem perto. O Internet Crime Complaint Center do FBI registrou aproximadamente $2,9 bilhões em perdas por BEC apenas em 2023 — transferências bancárias que saíram com a força de um email que parecia, por toda medida automatizada, completamente legítimo. Sem malware. Sem link suspeito. Apenas um pedido crível para atualizar dados de pagamento, enviado de uma caixa de entrada que tinha sido silenciosamente invadida.

Então se a pontuação de spam não vai te salvar, o que faz?

Duas linhas de cabeçalho que você consegue ler em menos de um minuto: Reply-To e Return-Path.

Aqui está a diferença, em termos simples. O endereço From é o que você vê na frente do envelope. O Return-Path é para onde as mensagens de devolução vão se a entrega falhar — o "remetente" técnico que o servidor receptor realmente se importa. E Reply-To é o endereço para o qual sua resposta é silenciosamente enviada quando você clica no botão. Como DMARC.org explica, estes podem legitimamente diferir, o que é exatamente o que os torna úteis como indício. Em email honesto de um fornecedor, todos os três geralmente ficam alinhados sob o mesmo domínio. Em um golpe de conta invadida, o atacante muitas vezes deixa o From intocado — tem que parecer real — mas coloca um Reply-To apontando para outro lugar. accounts@yourvendor.com na frente, accounts.yourvendor@gmail.com na resposta. Domínio diferente. Às vezes diferindo por um único caractere.

O atacante faz isso por uma razão simples. Ele pode controlar a caixa de entrada comprometida agora, mas não quer que sua resposta volte para a caixa de entrada do proprietário real, onde o funcionário real pode notar uma fatura que nunca enviou. Então ele redireciona a conversa para um endereço que ele controla totalmente. Esse redirecionamento é a impressão digital.

Encontrá-lo leva cerca de 20 segundos. No Outlook, abra a mensagem e use File → Properties para ver os cabeçalhos da internet; a Microsoft documenta o formato de cabeçalho completo se você quiser ler cada linha. No Gmail, clique no menu de três pontos e escolha Show original. Procure por Reply-To: e Return-Path:. Se qualquer um deles apontar para um domínio que não seja do remetente — ou para uma conta de webmail gratuita quando você esperaria uma corporativa — pare. Não responda ao email. Ligue para o fornecedor em um número que você já tinha, não um impresso na mensagem.

Nada disso exige que você seja técnico. Exige que você seja desconfiado justamente dos emails que não disparam nenhum alarme. Uma marca verde do seu filtro significa que a mensagem não foi falsificada. Não diz nada sobre quem está segurando as chaves da conta que a enviou.

Os golpes que drenam contas em 2024 não parecem golpes. Parecem terça-feira. O cabeçalho é onde a mentira ainda tem que viver.