Підроблена накладна, яка пройшла кожен тест на спам

Постачальник, якому ви платили десяток разів, надсилає нову накладну. Той самий логотип, той самий менеджер по рахункам, той самий ввічливий підпис. Єдина різниця — один рядок, схований в заголовку листа, — і цей рядок щойно перенаправив вашу оплату $48,000 якомусь незнайомцю в іншій країні.

Ось та частина шахрайства в інбоксі, про яку ніхто вас не попереджає: небезпечні накладні — це не неправильні. Це чисті. Шахрай, який проникнув в реальний корпоративний акаунт електронної пошти, не повинен нічого підробляти. Лист виходить з реальної домену, підписаний реальними ключами. SPF проходить. DKIM проходить. DMARC проходить. Ваш спам-фільтр пожимає плечима і пропускає його, тому що з точки зору математики це легітимна пошта. Це так. Просто її надсилає не той людина.

Ось чому компромісу ділової електронної пошти — найдорожча афера, і це не близько. Центр скарг на інтернет-злочини ФБР зареєстрував приблизно $2.9 млрд втрат від BEC лише в 2023 році — грошові переводи, які залишили на підставі листа, який виглядав, за кожним автоматизованим критерієм, абсолютно нормально. Жодного шкідливого коду. Жодного сумнівного посилання. Просто переконлива просьба оновити платіжні реквізити, надіслана з інбокса, який був непомітно захоплений.

Отже, якщо спам-оцінка вас не врятує, що тоді?

Два рядки заголовка, які ви можете прочитати менше ніж за хвилину: Reply-To і Return-Path.

Ось різниця, простою мовою. Адреса From — це те, що ви бачите на фасаді конверта. Return-Path — це те, куди йдуть повідомлення про відскочення, якщо доставка не вдасться, — технічний «відправник», яким насправді опікується сервер, що отримує. І Reply-To — це адреса, на яку тихо надсилається ваша відповідь, коли ви натискаєте кнопку. Як зазначає DMARC.org, вони можуть законно відрізнятися, і саме це робить їх корисним індикатором. На чесній пошті від постачальника всі три зазвичай вказують на одну домену. На афері з компрометованим акаунтом зловмисник часто залишає From без змін — вона має виглядати реально — але додає Reply-To, яка вказує кудись інде. accounts@yourvendor.com на фасаді, accounts.yourvendor@gmail.com на відповідь. Різні домени. Іноді відрізняються на один символ.

Зловмисник робить це з простої причини. Вони можуть контролювати компрометовану поштову скриньку прямо зараз, але вони не хочуть, щоб ваша відповідь потрапила назад в інбокс справжнього власника, де справжній співробітник міг би помітити накладну, яку він ніколи не надсилав. Отже, вони перенаправляють розмову на адресу, яку вони повністю контролюють. Цей перенаправ — це відбиток пальця.

Її знаходження займає приблизно 20 секунд. В Outlook відкрийте лист і використовуйте File → Properties, щоб побачити интернет-заголовки; Microsoft документує повний формат заголовка, якщо ви хочете прочитати кожен рядок. В Gmail натисніть меню з трьома крапками і виберіть Show original. Перегляньте Reply-To: та Return-Path:. Якщо будь-яка з них вказує на домену, яка не належить відправнику, — або на безплатний вебмейл-акаунт, коли ви очікуєте корпоративний, — зупиніться. Не відповідайте на лист. Позвоніть постачальнику на номер, який у вас уже був, а не на номер, надрукований у листі.

Все це не вимагає від вас бути технічно підготовленим. Це вимагає від вас скептицизму саме до листів, які не спрацьовують жодних сигналів тривоги. Зелена галочка від вашого фільтра означає, що лист не був підроблений. Вона нічого не говорить про те, хто тримає ключі до акаунта, який його надіслав.

Афери, які спустошують рахунки в 2024 році, не виглядають як афери. Вони виглядають як вівторок. Заголовок — це те місце, де брехня все ще повинна жити.