Gmail läser dina kvitton innan du gör det – och bedragare vet om det

Det snygga kortet överst i din inkorg som visar att din Amazon-beställning kommer torsdag framtvingades inte av någon AI som läser dina tankar. Gmail hittade ett block med schema.org-markup som avsändaren dolde i mejlets HTML, tolkade det och ritade kortet åt dig. Det betyder att en bedragare som klistrar in samma markup kan få en falsk beställning att se ut precis lika bekräftad som en verklig.

Hur vet Gmail att ett paket är på väg innan du läser mejlet?

Avsändaren säger det, på ett maskinläsbart språk som Gmail ber dem att tala. Googles utvecklardokumentation för mejlmarkup är explicit: återförsäljare och flygbolag bäddar in strukturerad data med schema.org-ordförråd, antingen som JSON-LD eller microdata, inuti mejlets HTML. En orderbekräftelse innehåller ett Order-objekt med fält som orderNumber, orderStatus och en kapslad ParcelDelivery med expectedArrivalUntil och en tracking-URL. Ett flyg innehåller en FlightReservation med avgångsflygplats, gate och boardingtid.

Gmails parser läser dessa fält och återger dem som höjdpunkter överst i inkorgen och inuti mejlet. Ingen AI "förstår" dina resplaner. Det läser märkt data på samma sätt som en webbläsare läser ett adressfält. Intelligensen ligger nästan helt och hållet i avsändarens HTML, inte i Googles svarta låda.

Varför gör det falska beställningar mer övertygande, inte mindre?

För att markupen bara är text, och text går att kopiera. Det finns ingen kryptografisk koppling mellan "det här kortet säger att din beställning skickades" och "den här beställningen är verklig." Googles schema-registreringsprocess kontrollerar en avsändares volym och formatering innan den aktiverar rich cards i större skala, men den underliggande JSON-LD sitter synligt i varje legitim bekräftelse du någonsin mottagit. Öppna en, visa källan, och där är den.

En bedragare skrapar upp det blocket, byter ut deras egen tracking-länk och ett falskt ordernummer, och skickar det. Om mejlet godkänns genom autentisering kan Gmail gladeligen rita ett snyggt "kommer snart"-kort ovanför ett mejl som är ren bete. Det visuella förtroende du byggt upp över hundra verkliga leveranser lånas gratis. Kortet ser officiellt ut för att formatet är officiellt. Innehållet är vad som helst som avsändaren skrev.

Vad skiljer en verklig bekräftelse från en förfalskad?

Inte kortet. Autentiseringshuvudena under det. Tre kontroller avgör om en avsändare är vem de säger sig vara: SPF bekräftar att servern som skickar är auktoriserad för domänen, DKIM är en kryptografisk signatur på mejlets brödtext, och DMARC säger mottagarna vad de ska göra när SPF eller DKIM misslyckas. Google och Yahoo gjorde detta obligatoriskt för alla som skickar mer än 5 000 meddelanden per dag till sina användare från och med februari 2024. Massavsändare utan giltigt DMARC avvisas eller hamnar i skräppost.

Det är det lagret värt att lita på, och det är det som inget kort visar dig. I Gmail öppnar du mejlet, klickar på menyn med tre punkter, väljer "Visa original" och letar efter PASS på SPF, DKIM och DMARC. Ett förfalskat "beställning skickad"-mejl som imiterar en verklig återförsäljare kommer vanligtvis att misslyckas med DKIM eller komma från en domän som inte stämmer överens. Det snygga kortet kan inte ljuga om leveransdatum; huvudena kan inte ljuga om vem som skickade det. Verktyg som läser dessa huvuden åt dig, inklusive bedrägerimarkering i AI-mejl som xmail, kontrollerar samma sak, bara snabbare än du skulle göra det för hand.

Vad bör du göra när ett överraskande paketkor dyker upp?

Lita på spårningen som du initierade, inte spårningen som anlände oanmäld. Om ett kort hävdar en leverans du inte minns att du beställde, klicka inte på dess länk. Tracking-URL:en inuti förfalskad markup är hela poängen med bedrägeriet, ofta ledande till en "betala den här tullbavagnen" eller "bekräfta din adress"-sida som samlar in kortuppgifter. Den amerikanska Postal Inspection Service och FTC har båda varnat upprepade gånger om falska leverans-SMS och mejl som gör exakt detta.

Istället går du direkt till återförsäljaren eller transportören, skriver adressen själv och klistrar in tracking-numret där. Om beställningen inte finns i ditt riktiga konto var kortet bara teater. Och om du vill ha ett säkert tecken redan innan du klickar: ett äkta skicka-mejl kommer nästan alltid från en domän du har gjort transaktioner med och godkänns av DMARC. Ett förfalskat skickas ofta från en likartad domän som misslyckas med justering, med ett kort på toppen som en lånad uniform.