Din chef mejlade dig inte. En AI tränad på hans senaste tre svar gjorde det.

Det gamla känneteecknet på ett falskt chef-mejl var dålig grammatik och en konstlig hälsning. Det känneteecknet är borta. Generativa verktyg kan nu läsa in en skrapad mejltråd och efterlikna en kollega's exakta tonfall, interpunktion och signatur, vilket är anledningen till att affärsmejlkompromisser fortfarande dränerar företag — FBI:s Internet Crime Complaint Center registrerade $2,9 miljarder i rapporterade BEC-förluster enbart 2023. Det enda tillförlitliga försvar som återstår är att flytta samtalet till en annan kanal innan du agerar.

Varför kan jag inte lita på ett mejl som låter exakt som min chef?

Därför att "det låter som honom" nu är den enklaste delen att förfalska. BEC brukade förlita sig på en hackad eller likande adress tillsammans med klumpig text; den besvärliga formuleringen var det avgörande. Mata en stor språkmodell med tre verkliga svar från någon och den kommer att matcha deras rytm — sättet de börjar med "Hej," hoppar över interpunktion när de har bråttom, signerar med bara en första bokstav. Angripare får dessa svar från en komprometterad postlåda, en vidarebefordrad tråd eller en svar-till-alla-kedja som läckte utanför företaget.

Verizons 2024 Data Breach Investigations Report fann att det mänskliga elementet var inblandat i ungefär 68% av överträdelserna, med social engineering och pretexting som ett dominant mönster. Stil är inte längre bevis. Personen som skriver som din CFO kan vara en modell tränad på femton minuter av din CFO's utbox.

Hur ser en av dessa uppgraderade förfalskningar faktiskt ut?

Det ser ut som en kort, trovärdig, något brådskande begäran som passar in i ett verkligt samtal redan i gång. Det klassiska greppet: ett svar släppt in i en befintlig tråd om en leverantörsbetalning, med nya övergiftsinstruktioner och en rad som "bank flaggade det gamla kontot, använd det här istället." Inga stavfel, korrekta projektnamn, din chefs verkliga talmanér.

Det tekniska problemet är att visningsnamnet kan läsas perfekt medan avsändardomänen är av ett tecken — @company-invoices.com istället för @company.com — eller Reply-To pekar tyst någon annanstans. Autentisering hjälper här: ett meddelande som misslyckas SPF, DKIM eller DMARC-justering är misstänkt oavsett hur människligt det läses. AI-mejlverktyg, inklusive bedrägerins och fakturabedrägeriets flaggning inbyggd i AI-mejl med bedrägeriflaggning, kontrollerar dessa rubriker automatiskt, eftersom en person som skumläser på en telefon aldrig kommer att göra det.

Så hur verifierar jag faktiskt en begäran jag inte kan lita på enkelt?

Byt kanal och bekräfta genom en du redan känner, inte en som mejlet gav dig. Om mejlet begär pengar eller autentiseringsuppgifter, ring personen på ett nummer från dina kontakter eller företagskatalog — aldrig numret i signaturen. Gå till deras skrivbord. Skicka ett meddelande till dem på det interna chattverktyget. Hela bedrägeriet beror på att du stannar inne i mejlet, där angriparen kontrollerar båda sidor.

Gör det till en regel, inte ett bedömningssamtal. Någon betalningsändring, någon överföring, någon ny bankuppgift får en bekräftelse via andra kanaler, punkt slut — IC3 rekommenderar konsekvent exakt denna muntliga verifiering för BEC. Regler överlever en upptagen tisdag eftermiddag; instinkter gör det inte. Och sluta att behandla en övertygande skrivstil som bevis på något. Det enda som en modell tränad på skrapade svar inte kan förfalska är din chef som svarar i telefonen och säger att han aldrig skickade det.

@@END@@