read receipts
Seu Antivírus Nunca Teve Chance Contra um Email em Branco
O golpe que drenou $2.9 bilhões de empresas americanas no ano passado não carregava um único vírus. Carregava uma linha de assunto e um favor.
Um funcionário de folha de pagamento em uma empresa de médio porte recebe um email do CEO. Sem anexo. Sem link. Apenas cinco linhas pedindo a ela que faça uma transferência urgente para um novo fornecedor antes do corte do meio-dia, e por favor mantenha isso em sigilo, estamos fechando a aquisição. Ela transfere $180.000. O CEO nunca enviou. E cada pedaço de software de segurança que a empresa pagou viu exatamente nada de errado, porque não havia nada a ver.
Isso é business email compromise, e é o crime mais caro da sua caixa de entrada por uma margem ampla. O Internet Crime Complaint Center do FBI registrou $2.9 bilhões em perdas BEC relatadas apenas em 2023. Ransomware, a coisa com a qual todos se preocupam, a coisa com os gráficos de caveira e os temporizadores de contagem regressiva? Chegou a aproximadamente $59.6 milhões em perdas relatadas naquele mesmo ano. BEC a supera por um fator de quase cinquenta. Um desses ganha manchetes. O outro leva seu dinheiro.
A razão pela qual o antivírus falha aqui é quase constrangedora. Scanners de malware funcionam examinando código — um anexo, um executável, uma macro escondida em uma planilha. Eles o comparam com assinaturas conhecidas como ruins ou observam seu comportamento em uma caixa de areia. Um email BEC lhes oferece uma nota em texto simples escrita no tom de seu chefe. Não há carga útil para detonar. A arma é uma sentença.
O que significa que a defesa não pode ser um scanner. Tem que ser um hábito, e o hábito vive nos headers.
Aqui está o sinal que a maioria das pessoas nunca procura. O campo From e o campo Reply-To são duas coisas diferentes, e os scammers exploram a lacuna. A linha From mostra um nome e endereço em que você confia — ceo@yourcompany.com, escrito corretamente. Mas no momento em que você clica em responder, a mensagem silenciosamente é encaminhada para ceo.finance@gmail-secure-mail.com ou algum domínio descartável que o atacante realmente controla. Sua resposta, com a confirmação da transferência, vai direto para o criminoso. O nome de exibição mentiu. O Reply-To disse a verdade.
Então treine a si mesmo a expandir o header antes de agir em qualquer solicitação de dinheiro. No Gmail, clique na pequena seta sob o nome do remetente. No Outlook, abra os detalhes da mensagem. Se Reply-To não corresponder a From, pare. Se o domínio está errado por um caractere — rn se passando por m, um .co onde você esperava .com — pare.
A versão mais sofisticada nem se incomoda em spoofar seu próprio domínio. Ela se passa por um fornecedor real que você já paga. O atacante fica em uma conta de fornecedor comprometida por semanas, lê a thread de fatura real, depois envia no momento perfeito: "Atualizamos nossos dados bancários, use a nova conta." Essa variante é brutal precisamente porque o email é autêntico — vem da caixa de entrada real e comprometida do fornecedor. SPF, DKIM e DMARC todos passam limpo, porque a mensagem genuinamente se originou de onde afirma. A autenticação confirma o remetente. Não pode confirmar a honestidade do remetente.
Essa é a verdade incômoda por baixo de tudo isso: toda a fraude se baseia em confiança e pressa, duas coisas que nenhum banco de dados de assinatura pode medir. Um CEO que "nunca usa email assim" de repente usa. Um fornecedor que o faturou do mesmo jeito por três anos de repente muda de contas. A solicitação sempre chega com uma razão que você não pode verificar até o meio-dia.
Então verifique por outro canal. Ligue para o número que você já tem — não para o do email. Uma ligação de dez segundos desfez transferências de seis dígitos de forma mais confiável do que qualquer produto com um firewall em seu nome. Os scammers estão apostando que você não atenderá o telefone. Prove que estão errados.