Поддельный счёт, прошедший все проверки на спам

Поставщик, которому вы платили десятки раз, отправляет свежий счёт. Тот же логотип, тот же менеджер по счётам, то же вежливое подписание. Единственное отличие — одна строка, спрятанная в заголовке письма, и именно эта строка перенаправила ваш платёж в размере $48,000 незнакомцу в другой стране.

Это та часть мошенничества во входящих, о которой никто вас не предупреждает: опасные счёта — это не неряшливые. Это чистые счета. Мошенник, взломавший реальный корпоративный почтовый ящик, не должен ничего подделывать. Письмо отправляется с подлинного домена, подписано подлинными ключами. SPF проходит проверку. DKIM проходит проверку. DMARC проходит проверку. Ваш фильтр спама пожимает плечами и пропускает письмо, потому что с точки зрения математики это легитимное письмо. Им оно и является. Просто отправлено неправильным человеком.

Вот почему взлом корпоративной электронной почты — самое дорогостоящее мошенничество из всех, и это не близко. Центр жалоб на киберпреступления ФБР (FBI's Internet Crime Complaint Center) зафиксировал примерно $2.9 млрд убытков от BEC только в 2023 году — электронные переводы, ушедшие на основании письма, которое по всем автоматическим меркам выглядело совершенно нормально. Никакого вредоноса. Никаких подозрительных ссылок. Просто убедительная просьба обновить реквизиты платежа, отправленная из почтового ящика, который был тихо взломан.

Если оценка спама вас не спасает, что же тогда?

Две строки заголовка, которые вы можете прочитать за минуту: Reply-To и Return-Path.

Вот разница в простых терминах. Адрес From — это то, что вы видите на передней стороне конверта. Return-Path — это место, куда уходят уведомления об ошибке доставки, если доставка не удаётся — технический «отправитель», который волнует принимающий сервер. А Reply-To — это адрес, на который тихо отправляется ваш ответ, когда вы нажимаете кнопку. Как объясняет DMARC.org, они могут отличаться в законном порядке, что и делает их полезным признаком для выявления. В честных письмах от поставщика все три обычно совпадают по одному домену. При взломе почтового ящика злоумышленник часто оставляет From без изменений — он должен выглядеть настоящим — но вставляет Reply-To, указывающий куда-то ещё. accounts@yourvendor.com на передней стороне, accounts.yourvendor@gmail.com при ответе. Разный домен. Иногда отличается на один символ.

Злоумышленник делает это по простой причине. Они могут контролировать взломанный почтовый ящик прямо сейчас, но они не хотят, чтобы ваш ответ попал обратно во входящие реального владельца, где реальный сотрудник может заметить счёт, который он никогда не отправлял. Поэтому они перенаправляют беседу на адрес, который они полностью контролируют. Это перенаправление — отпечаток.

Поиск занимает около 20 секунд. В Outlook откройте сообщение и используйте File → Properties, чтобы увидеть интернет-заголовки; Microsoft документирует полный формат заголовка, если вы хотите прочитать каждую строку. В Gmail нажмите меню с тремя точками и выберите Show original. Ищите Reply-To: и Return-Path:. Если любой из них указывает на домен, который не является доменом отправителя, или на бесплатный веб-почтовый адрес, когда ожидается корпоративный, — стоп. Не отвечайте на письмо. Позвоните поставщику по номеру, который у вас уже есть, а не по номеру, напечатанному в письме.

Ничего из этого не требует технических знаний. Требуется быть подозрительным именно к письмам, которые не вызывают никаких тревог. Зелёная галочка от вашего фильтра означает, что письмо не было подделано. Это ничего не говорит о том, кто держит ключи к ящику, который его отправил.

Мошенничество, которое опустошает счета в 2024 году, не выглядит как мошенничество. Оно выглядит как вторник. Заголовок — это место, где ложь всё ещё должна жить.