Мошенничество без полезной нагрузки: почему «Привет, ты свободен?» — это весь трюк

Самое опасное письмо, которое ваш босс никогда не отправлял, не содержит ссылки, вложения и никакого предупреждения о поддельном банке. Оно содержит четыре слова: «Привет, ты свободен?»

Вот и весь развод. Вся суть. И он работает, потому что разработан так, чтобы пройти мимо всех ваших защит — включая вашу собственную интуицию.

Вот механика этого. Традиционное фишинговое письмо содержит оружие: вредоносную ссылку, зараженный PDF, поддельную страницу входа. Ваш спам-фильтр, ваш шлюз электронной почты и все чаще ваш слой скрининга на основе ИИ — все они обучены выявлять такие вещи. Они проверяют отправителя по записям SPF, DKIM и DMARC. Они сканируют вложения. Они помечают срочность плюс запрос платежа. Сообщение, которое говорит «Привет, ты свободен?» не срабатывает ни на одно из них, потому что здесь нечего срабатывать. Оно выглядит как обычный вторник.

Полезная нагрузка не в письме. Полезная нагрузка — это ваш ответ.

Как только вы ответите — «Конечно, в чем дело?» — вы сделали две вещи, которые нужны злоумышленнику. Вы подтвердили, что аккаунт активен и контролируется, и вы открыли переписку, в которой именно вы теперь обеспечиваете доверие. Следующее сообщение — вот где удар. Это почти всегда что-то небольшое, правдоподобное и ограниченное по времени: я застрял на встрече, можешь купить подарочные карты для клиента, я тебе верну, просто отправь мне коды со спины. Иногда это денежный перевод «новому поставщику». Версия с подарочными картами популярна именно потому, что подарочные карты — это самое близкое к наличным деньгам без следа, которые обычный сотрудник может купить в CVS.

Это компрометация корпоративной электронной почты, и это не проблема маргинальных групп. Интернет-центр жалоб на преступления ФБР зафиксировал $2.9 миллиарда в задокументированных потерях от BEC только в 2023 году — категория, построенная почти полностью на простых текстовых сообщениях, которые не содержат ничего для сканера — ни вложения, ни ссылки, ни вредоноса. FTC в отдельности отслеживала подарочные карты как один из главных способов оплаты, которые требуют мошенники, с потерями сотен миллионов год за годом таким образом. Это не люди, попавшиеся на мультяшные письма нигерийского принца. Это компетентные сотрудники, отвечающие на то, что выглядит как обычное сообщение от имени, которое они узнают.

И это имя — вторая половина трюка. Посмотрите на фактический адрес отправителя, а не на отображаемое имя. Злоумышленники регистрируют похожие домены — заменяют rn на m, добавляют дефис, используют бесплатный Gmail с именем вашего генерального директора в поле «от». Отображаемые имена легко подделать; домен после @ — нет. Вот ваш ключ к разгадке. Если «Дэйв Морган, генеральный директор» пишет с адреса dave.morgan.exec@gmail.com, то Дэйв не получил новый адрес электронной почты. Дэйв не существует.

Причина, по которой скучное начало побеждает яркое, психологическая, а не техническая. Холодное требование денег вызывает подозрение. Теплый, маловажный вопрос сначала строит отношения, так что к тому времени, когда деньги появляются в разговоре, вы уже решили, что этот человек — тот, за кого себя выдает. Мошенничество использует вашу собственную последовательность против вас.

Итак, защита — это не обнаружение плохой ссылки, потому что ее не будет. Это правило об просьбе, а не о сообщении: любой запрос на подарочные карты, денежные переводы или платеж, маршрутизированный через канал, отличный от вашего нормального процесса, должен быть проверен внеполосно. Позвоните человеку. Не на номер в подписи письма — на номер в вашем телефоне. Зайдите к нему в кабинет.

Мошенник рассчитывает, что вы достаточно вежливы, чтобы ответить, и достаточно заняты, чтобы не проверить. Докажите ему, что это не так, во втором пункте, и первый пункт перестанет иметь значение.

Исправление, 21 октября 2026 г. В более ранней версии говорилось, что эти сообщения — это те, которые «ни один фильтр не помечал» — утверждение о каждом фильтре в мире, что эта статья не может подтвердить. То, что описывают цифры ФБР и что на самом деле нужно аргументу, — это то, что сообщение не содержит ничего для сканера для проверки.