E-posthuvudet som skickar ditt svar direkt till en tjuv

Här är ett bedrägeri som kostar amerikanska företag mer pengar än ransomware, skadlig programvara och dataintrång tillsammans, och det brukar inte ens involvera någon skadlig programvara alls. Ingen elakartad länk. Ingen infekterad bilaga. Inget för ditt antivirusprogram att fånga. Bara ett e-postmeddelande som verkar komma från din ekonomichef, och ett svar som tyst hamnar någon annanstans.

Någonstans annanstans är knepet. Och det finns i ett huvudfält som nästan ingen e-postklient visar dig.

Fältet heter Reply-To. Det har varit en del av internetpoststandarden från början — RFC 5322 definierar det som adressen dit svar "bör" skickas, separat från From-adressen. Vid legitim användning är det tråkigt och användbart. Ett nyhetsbrev skickas från noreply@company.com men anger Reply-To som support@company.com så dina frågor hamnar hos en människa. Det var allt. Det är det ärliga jobbet.

Business email compromise förvandlar den bekvämligheten till ett vapen. Istället för det svåra, tekniska arbetet att fejka en From-adress — vilket utlöser SPF-, DKIM- och DMARC-larm och får flaggad — registrerar angriparen bara en liknade domän eller en engångsgmail. Sedan anger de visningsnamnet som "Karen Vasquez, CFO" så att din inkorg visar ett bekant människonamn i fet. Den faktiska From-adressen kanske är karen.vasquez.finance@gmail.com, men du ser inte det; du ser "Karen Vasquez." Och kritiskt sätter de Reply-To till en adress de kontrollerar.

Så du läser e-postmeddelandet. Det är kort, troligt, lite brådskande. "Är du vid ditt skrivbord? Jag behöver att du behandlar en betalningsöverföring innan banken stänger." Du klickar svar. Din klient, som är hjälpsam, adresserar ditt svar till Reply-To — inte From. Du samtalar nu med angriparen, och varje meddelande du skickar bekräftar att du gick på luringen.

Omfattningen här är inte ett avrundningsfel. FBI:s Internet Crime Complaint Center registrerade $2,9 miljarder i rapporterade BEC-förluster enbart 2023, över mer än 21 000 klagomål. Det är det rapporterade numret, från människor som märkte och lämnade in. Den verkliga siffran är större, eftersom en betalningsöverföring som godkänns ser ut som en vanlig tisdag tills avstämning.

Det som gör detta förbannat är hur försvaret är precis där och dolt. Varje postklient känner till Reply-To-värdet. Nästan ingen visar det. Gmail kollapsar avsändaren till ett visningsnamn och en liten vinkeltecken som du måste klicka på. Outlook gömmer de riktiga adresserna under "Visa källa" eller en egenskapsdialog som de flesta aldrig har öppnat. Det enda fältet som avslöjar bluffen är det fält som gränssnittet behandlar som skräp.

Så träna vanan. Innan du svarar på något som involverar pengar, ändrade bankdetaljer eller brådskande, expandera huvudet. I Gmail klickar du på nedåtpilen bredvid avsändarens namn och läser den faktiska "reply-to"-raden. Om From säger en sak och Reply-To pekar på en annan brevlåda, stopp. Denna mismatch är sällan oskyldigt i ett finanse-mail.

Ännu bättre, svara inte alls. Starta ett nytt meddelande till adressen du redan har sparad för den personen, eller ring ett nummer du inte fick från e-postmeddelandet. Angripare räknar med att du stannar kvar i tråden de byggde.

Den dystra elegansen i detta bedrägeri är att det passerar varje automatisk kontroll genom att inte bryta någon regel. From-adressen är tekniskt verklig. Domänen autentiseras bra. Inget är förfalskat. Lögnerna är inte i ledningarna — det är i den enda raden som din programvara bestämde att du inte behövde se.