Заголовок електронного листа, що відправляє вашу відповідь прямо злочинцю

Ось афера, яка коштує американським компаніям більше грошей, ніж викуп програм-вимагачів, шкідливе ПО та витоки даних разом узяті, і зазвичай вона взагалі не передбачає жодного шкідливого ПО. Ніякого вредоносного посилання. Ніякого заражено­го вкладення. Ніяких спроб для вашого антивіруса перехопити. Просто електронний лист, який виглядає так, ніби він прийшов від вашого CFO, і відповідь, яка тихомиром йде кудись в інше місце.

Це інше місце — й є трюк. І він живе у полі заголовка, яке майже жоден поштовий клієнт вам не показує.

Поле називається Reply-To. Воно було частиною стандарту інтернет-пошти з самого початку — RFC 5322 визначає його як адресу, куди мають надходити відповіді, окремо від адреси From. У легітимному використанні воно нудне і корисне. Розсилка відправляється з noreply@company.com, але встановлює Reply-To на support@company.com, щоб ваші питання потрапили до людини. Ось і все. Це чесна робота.

Компромес ділової електронної пошти перетворює цю зручність на зброю. Замість того, щоб робити важку технічну роботу по підробленню адреси From — яка спричиняє тривоги SPF, DKIM та DMARC і отримує позначку — зловмисник просто реєструє схожу на оригінал доменну назву або одноразову пошту Gmail. Потім він встановлює ім'я для відображення на "Karen Vasquez, CFO", щоб ваша папка вхідних показала вам знайоме людське ім'я жирним шрифтом. Фактична адреса From може бути karen.vasquez.finance@gmail.com, але ви цього не бачите; ви бачите "Karen Vasquez". І найголовніше — він встановлює Reply-To на адресу, яку контролює.

Отже, ви читаєте електронний лист. Він короткий, правдоподібний, трохи терміновий. "Ти за робочим столом? Мені потрібно обробити переведення коштів до закриття банку." Ви натискаєте reply. Ваш клієнт, бажаючи бути корисним, адресує вашу відповідь до Reply-To — не до From. Тепер ви спілкуєтеся зі зловмисником, і кожне повідомлення, яке ви надсилаєте, підтверджує, що ви клюнули на гачок.

Масштаб тут — не просто помилка округлення. Internet Crime Complaint Center FBI зареєстрував $2.9 billion у повідомлених втратах від BEC тільки у 2023 році за понад 21,000 скарг. Це повідомлена цифра, від людей, які помітили й подали скаргу. Реальна цифра більша, тому що переведення коштів, яке дійшло до адресата, виглядає як звичайний вівторок, поки не прийде час звірення.

Що робить це божевільним, так це те, що захист вже там і замаскований. Кожен поштовий клієнт знає значення Reply-To. Майже жоден не показує його. Gmail згортає відправника в ім'я для відображення та крихітну каретку, на яку потрібно клацнути. Outlook приховує реальні адреси під "View source" [Переглянути джерело] або діалогом властивостей, який більшість людей ніколи не відкривала. Єдине поле, яке розкриває афе­ру, — це поле, яке інтерфейс розглядає як непотрібне.

Отже, виробіть звичку. Перш ніж відповідати на будь-що, що стосується грошей, змінених банківських реквізитів або терміновості, розгорніть заголовок. У Gmail клацніть на стрілку вниз поруч із ім'ям відправника й прочитайте фактичний рядок "reply-to". Якщо From говорить одне, а Reply-To вказує на іншу поштову скриньку, зупиніться. Така невідповідність рідко буває невинною у фінансовому листі.

Ще краще взагалі не відповідайте. Почніть новий листопис на адресу, яку ви вже зберігли для цієї людини, або подзвоніть за номером телефону, який ви не отримали з електронного листа. Зловмисники розраховують, що ви залишитеся всередині потоку, який вони побудували.

Мрачна елегантність цієї афери полягає в тому, що вона проходить кожну автоматизовану перевірку, не порушуючи жодного правила. Адреса From технічно реальна. Доменна назва аутентифікується добре. Нічого не підроблено. Брехня не в технічній частині — вона в єдиному рядку, який ваше програмне забезпечення вирішило, що вам не потрібно бачити.