Ваш антивирус не имел ни одного шанса против пустого письма

Сотрудница отдела расчётов в среднеразмерной фирме получает письмо от CEO. Без вложения. Без ссылки. Просто пять строк с просьбой срочно перевести деньги новому поставщику до полудня, и, пожалуйста, держи это в секрете, мы закрываем поглощение. Она переводит $180,000. CEO никогда не отправлял это письмо. И все программы безопасности, за которые компания платила, не увидели абсолютно ничего плохого, потому что смотреть было не на что.

Это компрометация корпоративной электронной почты, и это самое дорогостоящее преступление в твоём почтовом ящике, без сомнений. Центр жалоб на интернет-преступления при FBI зафиксировал $2.9 млрд в заявленных убытках от BEC только в 2023 году. Вымогатель, та штука, из-за которой все паникуют, та штука с графикой черепов и обратными отсчётами? Она набрала примерно $59.6 млн в заявленных убытках в том же году. BEC превосходит её почти в пятьдесят раз. Один из этих типов попадает в заголовки. Другой забирает твои деньги.

Причина, по которой антивирус здесь не срабатывает, почти смешная. Сканеры вредоносного ПО работают, изучая код — вложение, исполняемый файл, макрос, спрятанный в электронной таблице. Они сравнивают его с известными вредоносными сигнатурами или наблюдают его поведение в песочнице. BEC-письмо вручает им обычный текстовый документ, написанный тоном твоего начальника. Нет полезной нагрузки для срабатывания. Оружие — это предложение.

Это означает, что защита не может быть сканером. Это должна быть привычка, и эта привычка живёт в заголовках.

Вот признак, на который большинство людей никогда не смотрит. Поле From (От) и поле Reply-To (Ответить на) — это две разные вещи, и мошенники эксплуатируют разницу. Строка From показывает имя и адрес, которому ты доверяешь — ceo@yourcompany.com, написано правильно. Но в момент, когда ты нажимаешь ответить, сообщение тихо маршрутизируется на ceo.finance@gmail-secure-mail.com или какой-нибудь одноразовый домен, которым на самом деле управляет злоумышленник. Твой ответ с подтверждением перевода летит прямо мошеннику. Отображаемое имя лгало. Reply-To говорил правду.

Поэтому приучи себя раскрывать заголовок перед тем, как действовать на основе любого запроса о переводе денег. В Gmail нажми маленькую стрелку под именем отправителя. В Outlook откройте детали сообщения. Если Reply-To не совпадает с From, остановись. Если домен отличается на один символ — rn выдаёт себя за m, .co где ты ожидал .com — остановись.

Более продвинутый вариант даже не пытается подделать твой собственный домен. Он выдаёт себя за настоящего поставщика, которому ты уже платишь. Злоумышленник сидит на скомпрометированном аккаунте поставщика неделями, читает реальную цепочку счетов, затем отправляет письмо в идеальный момент: «Мы обновили реквизиты нашего банка, пожалуйста, используйте новый счёт». Этот вариант жестокий именно потому, что письмо аутентично — оно приходит из реального, взломанного почтового ящика поставщика. SPF, DKIM и DMARC проходят чисто, потому что сообщение действительно поступило откуда оно говорит. Аутентификация подтверждает отправителя. Она не может подтвердить честность отправителя.

В этом заключается неудобная истина под всем этим: вся аферта строится на доверии и спешке, на два вещи, которые никакая база сигнатур не может измерить. CEO, который «никогда не пользуется электронной почтой так», вдруг начинает. Поставщик, который счёт за всё платит одинаково три года, вдруг меняет счета. Запрос всегда приходит с причиной, которую ты не можешь проверить до полудня.

Поэтому проверь по другому каналу. Позвони по номеру, который уже есть у тебя — не по номеру из письма. Десятисекундный телефонный звонок помешал переводам в шесть цифр более надёжно, чем любой продукт с брандмауэром в названии. Мошенники ставят, что ты не позвонишь. Докажи им, что они ошиблись.