Email-заголовок, который отправляет ваш ответ прямо вору

Вот мошенничество, которое обходится американским компаниям дороже, чем программы-вымогатели, вредоносное ПО и утечки данных вместе взятые, и обычно оно вообще не предполагает никакого вредоноса. Никаких вредоносных ссылок. Никаких заражённых вложений. Ничего, что могли бы поймать антивирусные программы. Просто письмо, которое выглядит так, будто пришло от вашего CFO, и ответ, который тихо уходит куда-то ещё.

Это «куда-то ещё» — вот в чём штука. И это скрывается в поле заголовка, которое практически ни один почтовый клиент вам не показывает.

Поле называется Reply-To. Оно было частью интернет-стандарта почты с самого начала — RFC 5322 определяет его как адрес, куда «должны» отправляться ответы, отдельно от адреса From. При легитимном использовании это скучно и полезно. Рассылка отправляется с noreply@company.com, но устанавливает Reply-To на support@company.com, чтобы ваши вопросы попадали к человеку. Вот и всё. Вот честная работа.

Business email compromise превращает это удобство в оружие. Вместо сложной технической работы по подделке адреса From — что срабатывает SPF, DKIM и DMARC алармы и получает флаг — злоумышленник просто регистрирует похожий домен или одноразовый Gmail. Потом он устанавливает display name в «Karen Vasquez, CFO», чтобы ваш inbox показывал знакомое человеческое имя жирным шрифтом. Реальный адрес From может быть karen.vasquez.finance@gmail.com, но вы этого не видите; вы видите «Karen Vasquez». И главное, они устанавливают Reply-To на адрес, который они контролируют.

Вы читаете письмо. Оно короткое, правдоподобное, немного срочное. «Вы на месте? Мне нужно, чтобы ты обработал перевод до закрытия банка». Вы нажимаете reply. Ваш клиент, стараясь помочь, адресует ваш ответ на Reply-To — а не на From. Теперь вы разговариваете с злоумышленником, и каждое сообщение, которое вы отправляете, подтверждает, что вы поддались уловке.

Масштаб здесь — не ошибка округления. FBI's Internet Crime Complaint Center зарегистрировал $2.9 billion заявленных потерь BEC только в 2023 году, по более чем 21,000 жалобам. Это заявленная цифра, от людей, которые заметили и подали жалобу. Реальная цифра больше, потому что перевод, который прошёл, выглядит как обычный вторник до выверки.

Что делает это сумасшедшим, так это то, что защита прямо там и скрыта. Каждый почтовый клиент знает значение Reply-To. Почти никто не показывает его. Gmail свёртывает отправителя в display name и маленький каретку, на которую нужно нажать. Outlook прячет реальные адреса под «View source» или диалог свойств, который большинство людей никогда не открывали. Единственное поле, которое разоблачает афёру, — это поле, которое интерфейс считает беспорядком.

Итак, выработайте привычку. Перед тем как ответить на что-либо, связанное с деньгами, изменением банковских реквизитов или срочностью, разверните заголовок. В Gmail нажмите на стрелку вниз рядом с именем отправителя и прочитайте реальную строку «reply-to». Если From говорит одно, а Reply-To указывает на другой почтовый ящик, остановитесь. Такое несовпадение редко бывает невинным в письме финансового характера.

Ещё лучше вообще не отвечайте. Напишите новое сообщение на адрес, который у вас уже сохранён для этого человека, или позвоните по номеру, который вы не получали из письма. Злоумышленники рассчитывают, что вы останетесь в цепочке, которую они построили.

Мрачная элегантность этого мошенничества в том, что оно проходит все автоматические проверки, не нарушая никаких правил. Адрес From технически реален. Домен аутентифицируется нормально. Ничего не подделано. Ложь не в трубах — она в единственной строке, которую ваше ПО решило, что вам не нужно видеть.