Antivirusul tău nu a avut nicio șansă împotriva unui email gol

O angajată din compartimentul de salarii la o firmă de mărime medie primește un email de la CEO. Fără atașament. Fără link. Doar cinci linii care o roagă să facă o viră urgentă către un furnizor nou înainte de ora prânzului, și te rog să-l păstrezi între noi, închidem o achiziție. Ea transferă $180,000. CEO nu l-a trimis niciodată. Și fiecare program de securitate pe care compania și-l plătise a văzut exact nimic greșit, pentru că nu era nimic de văzut.

Acesta este compromisul email de afaceri, și este cel mai scump delict din inbox-ul tău de departe. Centrul de Plângeri din Internet al FBI a înregistrat $2.9 miliarde în pierderi raportate de BEC doar în 2023. Ransomware, lucrul despre care toată lumea se panichează, lucrul cu grafice de craniu și cronometrul invers? A obținut aproximativ $59.6 milioane în pierderi raportate în același an. BEC o depășește cu un factor de aproape cincizeci. Una dintre acestea face titluri. Cealaltă îți ia banii.

Motiv pentru care antivirusul eșuează aici este aproape îngrijorător. Scanerele de malware funcționează prin examinarea codului — un atașament, un executabil, o macro ascunsă într-un calcul tabelar. Îl compară cu semnături cunoscute ca rele sau îl urmăresc comportamentul în sandbox. Un email de BEC îi înmânează o notă în text simplu scrisă în tonul șefului tău. Nu există nicio sarcină care să se declanșeze. Arma este o propoziție.

Ceea ce înseamnă că apărarea nu poate fi un scanner. Trebuie să fie o obicei, iar obiceiul trăiește în headere.

Iată indiciul pe care majoritatea oamenilor nu-l caută niciodată. Câmpul From și câmpul Reply-To sunt două lucruri diferite, și scammerii exploatează diferența. Linia From arată un nume și o adresă în care ai încredere — ceo@yourcompany.com, scris corect. Dar în momentul în care dai clic pe reply, mesajul se rutează în liniște la ceo.finance@gmail-secure-mail.com sau un domeniu de unică folosință pe care atacatorul îl controlează de fapt. Răspunsul tău, cu confirmarea viirei, merge direct la escroc. Numele afișat a minit. Reply-To a spus adevărul.

Deci obișnuiește-te să extinzi header-ul înainte de a acționa în funcție de orice cerere de bani. În Gmail, dă clic pe micul arrow de sub numele expeditorului. În Outlook, deschide detaliile mesajului. Dacă Reply-To nu se potrivește cu From, stop. Dacă domeniul este greșit cu un caracter — rn prefăcând a fi m, un .co în loc de .com pe care te așteptai — stop.

Versiunea mai sofisticată nici măcar nu se deranjează să falsifice propriul tău domeniu. Imită un furnizor real pe care deja îl plătești. Atacatorul stă pe un cont de furnizor compromis timp de săptămâni, citește firul real de facturi, apoi trimite email la momentul perfect: „Ne-am actualizat detaliile bancare, te rog folosește noul cont." Această variantă este brutală tocmai pentru că email-ul este autentic — vine din inbox-ul real, piratat, al furnizorului. SPF, DKIM și DMARC trec cu bine, pentru că mesajul provine cu adevărat de unde susține că provine. Autentificarea confirmă expeditorul. Nu poate confirma onestitatea expeditorului.

Aceasta este adevărul incomod care stă sub toate acestea: toată escrocheria se desfășoară pe baza încrederii și grabei, două lucruri care nicio bază de date de semnături nu poate măsura. Un CEO care „niciodată nu folosește email în felul acesta" brusc o face. Un furnizor care te-a facturat la fel timp de trei ani brusc schimbă conturi. Cererea soseşte întotdeauna cu un motiv pe care nu-l poți verifica până la prânz.

Deci verifi printr-un alt canal. Sună la numărul pe care deja îl ai — nu la cel din email. Un apel telefonic de zece secunde a anulat virări de șase cifre mai sigur decât orice produs cu un firewall în numele lui. Scammerii mizează că nu-ți vei ridica telefonul. Dovedește-le că se înșeală.