Factura falsă care a trecut prin orice test antispam

Un furnizor pe care l-ai plătit de o duzină de ori îți trimite o factură nouă. Același logo, același manager de cont, același semn de încheiere politicos. Singura diferență este o linie ascunsă în headerul emailului — și acea linie tocmai a redirecționat plata ta de 48.000 de dolari către un străin din altă țară.

Aceasta este partea fraudei de inbox pe care nimeni nu te avertizează: facturile periculoase nu sunt cele neglijente. Sunt cele curate. Un infractor care se infiltrează într-un cont real de email al unei companii nu trebuie să falsifice nimic. Mailul merge din domeniu autentic, semnat cu chei autentice. SPF trece. DKIM trece. DMARC trece. Filtrul tău antispam se-nclină și o lasă să treacă, pentru că din punct de vedere matematic acesta este mail legitim. Este. Doar că este trimis de om greșit.

De aceea compromiterea emailului de afaceri este cea mai scumpă escrocherie și nu-i deloc o competiție. Centrul pentru Plângeri de Crimă pe Internet al FBI a înregistrat aproximativ 2,9 miliarde de dolari în pierderi BEC în 2023 singur — transferuri prin fir care au plecat pe baza unui email care arăta, prin fiecare măsură automatizată, complet ok. Fără malware. Fără link dubios. Doar o cerere credibilă de actualizare a detaliilor de plată, trimisă de la o cutie poștală care fusese discret sechestrată.

Deci dacă scorul antispam nu te salvează, ce o face?

Două linii de header pe care le poți citi în mai puțin de un minut: Reply-To și Return-Path.

Iată diferența, în termeni simpli. Adresa From este ceea ce vezi pe față plicului. Return-Path este unde merg mesajele de bounce dacă livrarea eșuează — „expeditorul" tehnic pe care serverul receptor cu adevărat îl urmărește. Și Reply-To este adresa la care răspunsul tău se trimite tăcut atunci când apeși butonul. Așa cum DMARC.org explică, acestea pot diferi în mod legitim, ceea ce este exact ceea ce le face utile ca indicator. Pe mailul onest de la un furnizor, toate trei de obicei se aliniază sub același domeniu. Într-o escrocherie cu cont sechestrare, atacatorul de multe ori lasă From neatins — trebuie să arate real — dar introduce Reply-To care indică altundeva. accounts@yourvendor.com pe față, accounts.yourvendor@gmail.com pe răspuns. Domeniu diferit. Uneori diferă cu un singur caracter.

Atacatorul face asta din motiv simplu. Ar putea controla cutia poștală compromiată chiar acum, dar nu vrea ca răspunsul tău să aterizeze înapoi în inboxul proprietarului real, unde angajatul real ar putea observa o factură pe care nu a trimis-o niciodată. Deci redirecționează conversația la o adresă pe care o controlează complet. Acea redirecționare este amprenta.

Găsirea durează aproximativ 20 de secunde. În Outlook, deschide mesajul și folosește File → Properties pentru a vedea headerele internet; Microsoft documentează formatul complet al headerului dacă vrei să citești fiecare linie. În Gmail, apasă meniu cu trei puncte și alege Show original. Caută Reply-To: și Return-Path:. Dacă oricare dintre ele indică un domeniu care nu este al expeditorului — sau o cont de webmail gratuit când te-ai aștepta la una corporativă — oprește. Nu răspunde la email. Sună furnizorul la un număr pe care deja l-ai, nu la unul tipărit în mesaj.

Nimic din asta nu necesită să fii tehnic. Necesită să fii suspicior cu privire la exact acele emailuri care nu declanșează alarmele. O bifă verde de la filtrul tău înseamnă că mesajul nu a fost falsificat. Nu spune nimic despre cine ține cheile pentru contul care l-a trimis.

Escrocheriile care drenează conturi în 2024 nu arată ca escrocherii. Arată ca marți. Headerul este locul în care minciuna trebuie să trăiască.