Gmail читает ваши квитанции раньше вас, и мошенники это знают

Та аккуратная карточка в верхней части папки "Входящие", на которой показано, что ваш заказ Amazon прибудет в четверг, появилась не потому, что искусственный интеллект читает ваши мысли. Gmail обнаружил блок разметки schema.org, спрятанный отправителем в HTML письма, разобрал его и отрисовал карточку для вас. А это значит, что мошенник, который вставит ту же разметку, может сделать фальшивый заказ точно таким же подтвержденным, как и настоящий.

Как Gmail узнает о приходящей посылке до того, как вы прочитаете письмо?

Отправитель ему об этом говорит — на языке, понятном машине, который Gmail его просит использовать. Документация разработчика Google по разметке писем в этом вопросе ясна: розничные продавцы и авиакомпании встраивают структурированные данные с использованием словаря schema.org, либо в виде JSON-LD, либо как микроданные, прямо в HTML письма. Подтверждение заказа содержит объект Order с полями вроде orderNumber, orderStatus и вложенный ParcelDelivery с expectedArrivalUntil и ссылкой отслеживания. Информация о рейсе содержит FlightReservation с аэропортом вылета, номером гейта и временем посадки.

Парсер Gmail читает эти поля и отрисовывает их как выделения в верхней части папки "Входящие" и внутри письма. Никакой искусственный интеллект не "понимает" ваши планы путешествий. Он читает помеченные данные так же, как браузер читает поле адреса. Интеллект почти полностью сосредоточен в HTML отправителя, а не в черном ящике Google.

Почему это делает поддельные заказы более убедительными, а не менее?

Потому что разметка — это просто текст, а текст копируется. Между "на карточке написано, что ваш заказ отправлен" и "этот заказ реален" нет криптографической связи. Процесс регистрации схемы Google проверяет объем и форматирование отправителя перед тем, как активировать богатые карточки в большом масштабе, но основной JSON-LD лежит на виду в каждом настоящем подтверждении, которое вы когда-либо получали. Откройте его, посмотрите исходный код — и вот он.

Мошенник соскребает этот блок, подменяет свою ссылку отслеживания и поддельный номер заказа, и отправляет письмо. Если письмо пройдет проверку подлинности, Gmail может с удовольствием отрисовать красивую карточку "скоро прибудет" над письмом, которое чистая приманка. Визуальное доверие, которое вы накопили за сотню реальных доставок, берется бесплатно. Карточка выглядит официально, потому что официален формат. Содержимое — это все, что напечатал отправитель.

Что на самом деле отличает реальное подтверждение от поддельного?

Не карточка. Заголовки проверки подлинности под ней. Три проверки решают, является ли отправитель тем, за кого себя выдает: SPF подтверждает, что сервер отправки авторизован для этого домена, DKIM — это криптографическая подпись на теле письма, а DMARC указывает получателям, что делать, когда SPF или DKIM не пройдут. Google и Yahoo сделали это обязательным для всех, кто отправляет более 5000 сообщений в день своим пользователям, начиная с февраля 2024 года. Массовые отправители без действительной DMARC отклоняются или отправляются в спам.

Это уровень, который стоит тому доверять, и это тот уровень, который ни одна карточка вам не показывает. В Gmail откройте письмо, нажмите меню с тремя точками, выберите "Показать исходный код" и ищите PASS для SPF, DKIM и DMARC. Поддельное письмо "заказ отправлен", которое подделывает настоящего продавца, обычно не пройдет DKIM или придет с домена, который не совпадает. Красивая карточка не может врать о датах доставки; заголовки не могут врать о том, кто его отправил. Инструменты, которые читают эти заголовки для вас, включая обнаружение мошенничества в искусственном интеллекте для писем вроде xmail, проверяют то же самое, просто быстрее, чем вы делали бы это вручную.

Что вы должны делать, когда неожиданно появляется карточка посылки?

Доверьте отслеживанию, которое вы инициировали, а не отслеживанию, которое пришло без предупреждения. Если карточка говорит о доставке, которую вы не помните заказанной, не нажимайте на ее ссылку. Ссылка отслеживания внутри поддельной разметки — это весь смысл афер, часто ведущий на страницу "оплатите этот таможенный сбор" или "подтвердите ваш адрес", которая собирает данные карт. Служба почтовой инспекции США и FTC неоднократно предупреждали о поддельных текстах доставки и письмах, делающих ровно это.

Вместо этого перейдите непосредственно к продавцу или перевозчику, введите адрес сами и вставьте номер отслеживания там. Если заказа нет в вашем настоящем аккаунте, карточка была просто театром. И если вам нужна подсказка еще до того, как вы нажмете: подлинное письмо о доставке почти всегда приходит с домена, с которым вы взаимодействовали, и проходит DMARC. Поддельное часто отправляется с похожего домена, который не прошел проверку выравнивания, с карточкой сверху, как заимствованная форма.