read receipts
Ваш антивірус не мав жодного шансу проти порожного листа
Афера, яка забрала $2.9 млрд у американських компаній минулого року, не містила жодного вірусу. Вона містила тему листа та прохання про послугу.
Працівниця з розрахунку заробітної плати у середній компанії отримує лист від CEO. Без вкладення. Без посилання. Просто п'ять рядків із проханням перевести терміновий платіж новому постачальнику до полудня, і, будь ласка, тримай це в таємниці, ми закриваємо придбання. Вона переводить $180,000. Але CEO ніколи не надсилав цього листа. І кожна програма забезпечення безпеки, яку компанія купила, не виявила абсолютно нічого підозрілого, тому що не було чого виявляти.
Це компромісація бізнес-електронної пошти, і це найдорожчіший злочин у вашій папці вхідних на величезну маржу. Центр скарг про інтернет-злочини FBI зареєстрував $2.9 млрд повідомлених втрат від BEC у 2023 році самому по собі. Програмне забезпечення для вимагання викупу, за яке всі панікують, те, що має картинки черепів і таймери зворотного відліку? Це склало приблизно $59.6 млн повідомлених втрат того ж року. BEC перевищує його приблизно в п'ятдесят разів. Один з цих випадків потрапляє в заголовки новин. Інший забирає ваші гроші.
Причина, чому антивірус тут не працює, майже посоромлива. Сканери шкідливого ПО працюють, вивчаючи код — вкладення, виконуваний файл, макрос, захований у електронній таблиці. Вони порівнюють його з відомими поганими підписами або спостерігають його поведінку в піщанниці. BEC лист дарує їм простий текстовий лист, написаний тоном вашого шефа. Немає корисного навантаження для вибуху. Зброя — це речення.
Це означає, що оборона не може бути сканером. Це має бути звичка, і ця звичка живе в заголовках.
Ось ознака, на яку більшість людей ніколи не звертає уваги. Поле From і поле Reply-To — це дві різні речі, і шахраї експлуатують цю прогалину. Рядок From показує ім'я та адресу, яким ви довіряєте — ceo@yourcompany.com, написане правильно. Але в той момент, коли ви натискаєте reply, лист тихо маршрутизується на ceo.finance@gmail-secure-mail.com або якусь тимчасову область, яку насправді контролює зловмисник. Ваша відповідь, з підтвердженням переказу, летить прямо до злочинця. Ім'я дисплея брало. Reply-To сказало правду.
Тож тренуйте себе розгортати заголовок перед тим, як діяти на основі будь-якого запиту щодо грошей. У Gmail натисніть маленьку стрілку під ім'ям відправника. У Outlook відкрийте деталі повідомлення. Якщо Reply-To не відповідає From, зупиніться. Якщо домен відрізняється на один символ — rn видається як m, .co де ви очікували .com — зупиніться.
Більш складна версія навіть не намагається підробити вашу власну область. Вона видається реальним постачальником, якому ви вже платите. Зловмисник сидить на скомпрометованому рахунку постачальника тижнями, читає справжній потік рахунків, потім надсилає електронний лист у потрібний момент: «Ми оновили наші банківські реквізити, будь ласка, використовуйте новий рахунок». Цей варіант жорсткий саме тому, що лист автентичний — він походить із справжнього, скомпрометованого вхідного ящика постачальника. SPF, DKIM і DMARC проходять чисто, тому що повідомлення справді походить звідти, де стверджує. Автентифікація підтверджує відправника. Вона не може підтвердити чесність відправника.
Це невтішна правда, що лежить в основі всього цього: вся афера побудована на довірі та поспіху — дві речі, які жоден набір підписів не може виміряти. CEO, який «ніколи не користується електронною поштою таким чином», раптом це робить. Постачальник, який рахує вас однаково три роки, раптом змінює рахунки. Запит завжди приходить з причиною, яку ви не можете перевірити до полудня.
Тож перевіряйте іншим каналом. Подзвоніть за номером, який у вас вже є — не тим, що в листі. Десятисекундний телефонний дзвінок скасував шеститисячнодоларові переводи надійніше, ніж будь-який продукт із брандмауером у назві. Шахраї роблять ставку на те, що ви не піднімете трубку. Докажіть їм, що вони помиляються.