Gmail читає ваші квитанції перед тим, як ви їх відкриєте, і шахраї це знають

Та акуратна карточка у верхній частині вашої папки "Вхідні", яка показує, що ваше замовлення Amazon прибуде в четвер, — це не результат роботи ШІ, який читає ваші думки. Gmail знайшов блок розмітки schema.org, який відправник приховав у HTML листа, розпарсив його та намалював для вас карточку. А це означає, що шахрай, який вставить ту саму розмітку, може зробити фальшиве замовлення абсолютно таким же підтвердженим, як справжнє.

Як Gmail знає, що пакунок уже в дорозі, перш ніж ви прочитаєте лист?

Відправник йому це говорить — на мові, яка читається машинами, те саме, що просить Gmail. Документація розробників Google для розмітки електронної пошти дуже конкретна: продавці й авіакомпанії вбудовують структуровані дані, використовуючи словник schema.org, у вигляді JSON-LD або мікроданих, усередину HTML листа. Підтвердження замовлення містить об'єкт Order з полями на кшталт orderNumber, orderStatus і вкладеним ParcelDelivery з expectedArrivalUntil і посиланням на відстеження. Рейс містить FlightReservation з аеропортом вильоту, гейтом і часом посадки.

Парсер Gmail читає ці поля та відображає їх як виділення у верхній частині папки "Вхідні" та всередину листа. Жоден ШІ не "розуміє" ваші плани подорожей. Це просто читання позначених даних так само, як браузер читає поле адреси. Інтелект майже повністю міститься у HTML відправника, а не у чорному ящику Google.

Чому це робить фальшиві замовлення більш переконливими, а не менш?

Тому що розмітка — це просто текст, а текст копіюється. Тут немає криптографічного зв'язку між "ця карточка говорить, що ваше замовлення відправлене" та "це замовлення справжнє". Процес реєстрації schema в Google перевіряє обсяг повідомлень відправника та форматування перед тим, як увімкнути багаті карточки в масштабі, але базовий JSON-LD лежить у відкритому доступі у кожному справжньому підтвердженні, яке ви коли-небудь отримували. Відкрийте одне, переглядіть вихідний код — і ось він.

Шахрай скребе цей блок, підставляє своє посилання на відстеження й фальшивий номер замовлення, й відправляє його. Якщо лист пройде аутентифікацію, Gmail із задоволенням намалює гарну карточку "прибуває незабаром" над листом, який чистої води приманка. Та візуальна довіра, яку ви накопичували протягом сотні справжніх доставок, використовується безплатно. Карточка виглядає офіційно, тому що офіційний формат. Вміст — це все, що тільки надрукував відправник.

Що насправді розрізняє справжнє підтвердження від підробленого?

Не карточка. Заголовки аутентифікації під нею. Три перевірки визначають, чи є відправник тим, за кого себе видає: SPF підтверджує, що сервер відправлення авторизований для домену, DKIM — це криптографічний підпис на тілі листа, а DMARC повідомляє одержувачам, що робити, якщо SPF або DKIM не пройдуть. Google та Yahoo зробили це обов'язковим для всіх, хто відправляє більше 5000 повідомлень на день своїм користувачам, починаючи з лютого 2024 року. Масові відправники без дійсного DMARC отримують відхилення або потрапляють у спам.

Це той рівень, якому варто довіряти, і саме він не показується вам на карточці. У Gmail відкрийте лист, натисніть меню "три крапки", виберіть "Показати оригінал" і шукайте PASS для SPF, DKIM та DMARC. Фальшивий лист "замовлення відправлене", який підробляє справжнього продавця, зазвичай не пройде DKIM або прийде з домену, який не збігається. Гарна карточка не може брехати про дати доставки; заголовки не можуть брехати про те, хто її відправив. Інструменти, які читають ці заголовки для вас, включаючи виявлення шахрайства у ШІ електронній пошті на кшталт xmail, перевіряють те саме, тільки швидше, ніж ви б це робили вручну.

Що вам робити, коли раптово з'являється карточка з пакунком?

Довіряйте відстеженню, яке ви ініціювали самі, а не тому, що прийшло несподівано. Якщо карточка стверджує про доставку, яку ви не пам'ятаєте, що замовляли, не натискайте на її посилання. Посилання на відстеження всередину фальшивої розмітки — це вся суть афери, часто ведучи на сторінку "сплатіть цей митний збір" або "підтвердіть вашу адресу", яка збирає дані карток. Служба інспекції США з поштових справ та FTC неодноразово попереджували про фальшиві SMS та листи про доставку, які роблять саме це.

Натомість перейдіть безпосередньо до продавця або перевізника, введіть адресу самостійно й вставте там номер відстеження. Якщо замовлення не існує у вашому справжньому акаунті, карточка була просто театром. А якщо ви хочете ознаку ще перш ніж клікнути: справжній лист про доставку майже завжди приходить з домену, з яким ви проводили операції, й проходить DMARC. Підроблений зазвичай відправляється з домену, подібного до справжнього, який не збігається при вирівнюванні, з карточкою зверху, наче позичена форма.