Antetul de email care trimite răspunsul tău direct către un hoț

Iată o înșelătorie care costă întreprinderile americane mai mulți bani decât ransomware-ul, malware-ul și breșele de date la un loc, și de obicei nu implică deloc niciun malware. Nicio legătură malițioasă. Niciun atașament infectat. Nimic pe care antivirus-ul tău să-l poată prinde. Doar un email care pare că vine de la CFO-ul tău, și un răspuns care se duce în tăcere în altă parte.

Acea „altă parte" este trucul. Și locuiește într-un câmp de antet pe care aproape niciun client de email nu ți-l arată.

Câmpul se numește Reply-To. Face parte din standardul pentru internet mail de la început — RFC 5322 o definește ca adresa unde răspunsurile „ar trebui" să meargă, separată de adresa From. În uz legitim e plictisitor și util. Un buletin informativ se trimite de la noreply@company.com dar setează Reply-To la support@company.com, so întrebările tale ajung la o persoană. Gata. Ăsta e jobul cinstit.

Compromisul de email pentru afaceri transformă acea comoditate într-o armă. În loc de munca grea, tehnică, de a falsifica o adresă From — care declanșează alarme SPF, DKIM și DMARC și e marcată — atacatorul pur și simplu înregistrează un domeniu asemănător sau un Gmail de unică folosință. Apoi setează numele de afișare la „Karen Vasquez, CFO" ca inboxul tău să îți arate un nume cunoscut de om, în bold. Adresa From reală ar putea fi karen.vasquez.finance@gmail.com, dar tu nu vezi asta; tu vezi „Karen Vasquez." Și crucial, ei setează Reply-To la o adresă pe care o controlează.

Deci tu citești emailul. E scurt, plauzibil, puțin urgent. „Ești la birou? Trebuie să procesez un transfer înainte ca banca să se închidă." Dai click pe reply. Clientul tău, fiind util, adresează răspunsul tău la Reply-To — nu la From. Acum vorbești cu atacatorul, și fiecare mesaj pe care îl trimiți confirmă că ai căzut în cursă.

Scara aici nu e o eroare de rotunjire. FBI's Internet Crime Complaint Center a înregistrat $2.9 billion în pierderi BEC raportate numai în 2023, în peste 21,000 de plângeri. Asta e cifra raportată, de la oameni care au observat și au depus plângeri. Cifra reală e mai mare, pentru că un transfer care se decontează arată ca o marți normală până la reconciliere.

Ce face asta apăsător e faptul că apărarea e chiar acolo și ascunsă. Fiecare client de mail știe valoarea Reply-To. Aproape niciunu nu o afișează. Gmail restrânge expeditorul la un nume de afișare și un mic caret pe care trebuie să-l apeși. Outlook ascunde adresele reale sub „View source" [Vizualizare sursă] sau o fereastră de proprietăți pe care majoritatea oamenilor nu au deschis-o vreodată. Singurul câmp care relevă păcăleala e singurul câmp pe care interfața îl tratează ca gunoi.

Deci dezvoltă obiceiul. Înainte să răspunzi la orice ce implică bani, detalii bancare schimbate sau urgență, extinde antetul. În Gmail, dă click pe săgeata în jos de lângă numele expeditorului și citește linia reală „reply-to". Dacă From zice un lucru și Reply-To indică o cutie de poștă diferită, oprește-te. Acea nepotrivire e rar inocentă într-un email de finanțe.

Mai bine, nu răspunde deloc. Pornește un mesaj nou la adresa pe care o ai deja salvată pentru acea persoană, sau cheamă o persoană la un număr pe care nu l-ai primit din email. Atacatorii mizează pe faptul că stai în firul pe care l-au construit.

Eleganța lugubră a acestei înșelătorii e că trece fiecare verificare automatizată prin a nu încălca nicio regulă. Adresa From e tehnic reală. Domeniul se autentifică bine. Nimic nu e falsificat. Minciuna nu e în infrastructure — e în singura linie pe care software-ul tău a hotărât că nu trebuie să o vezi.