Den falska fakturan som klarade alla skräpposttester

En leverantör som du har betalat ett dussintal gånger mejlar en ny faktura. Samma logotyp, samma kontoansvarig, samma höfliga avslutning. Den enda skillnaden är en rad som är gömd i mejlets rubrik — och den raden omdirigerade precis din $48 000-betalning till en främling i ett annat land.

Det här är den delen av inboxbedrägeri som ingen varnar dig om: de farliga fakturorna är inte de slapphändiga. De är de snygga. En bedragare som bryter sig in på ett verkligt företags mejlkonto behöver inte förfalska något. Mejlet går ut från den verkliga domänen, signerad med verkliga nycklar. SPF godkänns. DKIM godkänns. DMARC godkänns. Ditt skräppostfilter drar på axlarna och låter det igenom, för så långt matematiken räcker är det här legitimt mejl. Det är det. Det skickas bara av fel människa.

Det är därför att kompromettering av företagsmejl är det dyraste bedrägeri som finns, och det är inte ens nära. FBI:s Internet Crime Complaint Center registrerade ungefär $2,9 miljarder i BEC-förluster enbart 2023 — banköverföringar som gick iväg på grund av ett mejl som såg, enligt alla automatiserade mätningar, helt i ordning ut. Ingen skadlig kod. Ingen tveksam länk. Bara en trovärdig förfrågan om att uppdatera betalningsuppgifter, skickad från en inkorg som hade hackats diskret.

Så om skräppostpoängen inte räddar dig, vad gör det då?

Två rubrikrader som du kan läsa på under en minut: Reply-To och Return-Path.

Här är skillnaden, i enkla ord. From-adressen är vad du ser på framsidan av kuvertet. Return-Path är dit aviseringsbrev går om leveransen misslyckas — den tekniska "avsändaren" som mottagarservern faktiskt bryr sig om. Och Reply-To är adressen som ditt svar tyst skickas till när du klickar knappen. Som DMARC.org förklarar kan dessa skilja sig åt på ett lovligt sätt, vilket är precis det som gör dem användbara som en utgivande signal. På ärligt mejl från en leverantör ligger alla tre vanligtvis på samma domän. På ett hackningsbetryggerifall lämnar angriparen ofta From orört — det måste se verkligt ut — men smusslar in en Reply-To som pekar någon annanstans. accounts@yourvendor.com på framsidan, accounts.yourvendor@gmail.com på svaret. Olika domän. Ibland skiljer det bara ett tecken.

Angriparen gör det här av en enkel anledning. De kan kontrollera brevlådan som är komprometterad just nu, men de vill inte att ditt svar landar tillbaka i den verkliga ägares inkorg, där den verkliga anställde kan märka en faktura de aldrig skickade. Så de omdirigerar konversationen till en adress de helt kontrollerar. Den omdirigering­en är fingeravtrycket.

Det tar ungefär 20 sekunder att hitta den. I Outlook öppnar du meddelandet och använder File → Properties för att se internetrubrikerna; Microsoft dokumenterar det fullständiga rubrikformatet om du vill läsa varje rad. I Gmail klickar du på menyn med tre prickar och väljer Show original. Sök efter Reply-To: och Return-Path:. Om någon av dem pekar på en domän som inte är avsändarens — eller på ett gratis webmail-konto när du förväntar dig ett företagskonto — stanna. Svara inte på mejlet. Ring leverantören på ett nummer du redan hade, inte ett som är tryckt i meddelandet.

Inget av det här kräver att du är teknisk. Det kräver att du är misstänksam mot precis de mejl som inte utlöser några alarm. En grön bock från ditt filter betyder att meddelandet inte förfalskades. Det säger ingenting om vem som håller nycklarna till det konto som skickade det.

De bedrägerier som tömmer konton 2024 ser inte ut som bedrägerier. De ser ut som en tisdag. Rubriken är där lögen fortfarande måste bo.