Gmail آپ کے وصول کی رسیدیں پڑھتا ہے اس سے پہلے کہ آپ انہیں کھولیں، اور اسکیمرز کو یہ معلوم ہے

آپ کے انبوکس کے اوپری حصے میں وہ صاف ستھرا کارڈ جو دکھاتا ہے کہ آپ کا Amazon آرڈر جمعہ کو آئے گا، کسی ذہن پڑھنے والی AI کی جادوگری نہیں ہے۔ Gmail نے schema.org markup کا ایک بلاک تلاش کیا جو بھیجنے والے نے ای میل کے HTML میں چھپایا تھا، اسے parse کیا، اور آپ کے لیے کارڈ بنایا۔ جس کا مطلب ہے کہ ایک scammer جو اسی markup کو چسپاں کرتا ہے وہ ایک نقلی آرڈر کو بالکل اسی طرح تصدیق شدہ بنا سکتا ہے جیسے اصل آرڈر۔

Gmail کو کیسے پتا چل جاتا ہے کہ ای میل پڑھنے سے پہلے پیکج آ رہا ہے؟

بھیجنے والا اسے بتاتا ہے، ایک machine-readable زبان میں جو Gmail سے بولنے کے لیے کہتا ہے۔ Google کے ای میل markup کے developer docs واضح ہیں: retailers اور airlines schema.org vocabulary استعمال کرتے ہوئے structured data کو embed کرتے ہیں، یا تو JSON-LD یا microdata کے طور پر، پیغام کے HTML کے اندر۔ ایک order confirmation میں Order object ہوتا ہے جس میں orderNumber، orderStatus جیسے فیلڈز ہوتے ہیں، اور ایک nested ParcelDelivery جس میں expectedArrivalUntil اور tracking URL ہوتا ہے۔ ایک flight میں FlightReservation ہوتا ہے جس میں departure airport، gate، boarding time ہوتا ہے۔

Gmail کا parser ان فیلڈز کو پڑھتا ہے اور انہیں انبوکس کے اوپری حصے اور پیغام کے اندر highlights کے طور پر render کرتا ہے۔ کوئی AI آپ کے سفر کے منصوبے کو "سمجھ" نہیں رہا۔ یہ labeled data کو اسی طرح پڑھ رہا ہے جیسے ایک browser address field کو پڑھتا ہے۔ ذہانت تقریباً مکمل طور پر بھیجنے والے کے HTML میں ہے، Google کے black box میں نہیں۔

یہ نقلی آرڈرز کو کم قابلِ قبول نہیں بلکہ زیادہ قابلِ قبول کیوں بناتا ہے؟

کیونکہ markup صرف text ہے، اور text نقل ہو جاتا ہے۔ "یہ کارڈ کہتا ہے کہ آپ کا آرڈر بھیج دیا گیا" اور "یہ آرڈر اصل ہے" کے درمیان کوئی cryptographic bond نہیں ہے۔ Google کا schema registration process بھیجنے والے کے volume اور formatting کو check کرتا ہے اس سے پہلے کہ وہ بڑے پیمانے پر rich cards کو فعال کریں، لیکن underlying JSON-LD ہر اصل confirmation میں plain sight میں بیٹھا ہوا ہے جو آپ نے کبھی وصول کیا ہے۔ ایک کو کھولیں، view source کریں، اور وہ ہے۔

ایک scammer اس بلاک کو scrape کرتا ہے، اپنا tracking link اور نقلی order number ڈالتا ہے، اور بھیجتا ہے۔ اگر پیغام authentication میں کامیاب ہو جاتا ہے تو Gmail خوشی سے ایک صاف ستھرا "جلد آ رہا ہے" کارڈ ایک ای میل کے اوپر بناتا ہے جو سراسر bait ہے۔ سو حقیقی deliveries پر آپ نے جو بصری اعتماد بنایا ہے وہ مفت میں لیا جاتا ہے۔ کارڈ official لگتا ہے کیونکہ format official ہے۔ مواد وہ ہے جو بھیجنے والے نے لکھا۔

اصل confirmation اور نقلی کے درمیان اصل میں کیا فرق ہے؟

کارڈ نہیں۔ اس کے نیچے authentication headers۔ تین check فیصلہ کرتے ہیں کہ بھیجنے والا وہی ہے جو وہ دعویٰ کرتا ہے: SPF تصدیق کرتا ہے کہ بھیجنے والا server domain کے لیے authorized ہے، DKIM پیغام body پر ایک cryptographic signature ہے، اور DMARC receivers کو بتاتا ہے کہ جب SPF یا DKIM ناکام ہوں تو کیا کریں۔ Google اور Yahoo نے یہ February 2024 سے شروع کرتے ہوئے اپنے صارفین کو 5,000 سے زیادہ پیغامات بھیجنے والے کسی کے لیے بھی لازمی بنایا۔ بغیر valid DMARC کے Bulk senders کو مسترد کیا جاتا ہے یا junk میں ڈالا جاتا ہے۔

یہ وہ layer ہے جس پر بھروسہ کیا جا سکتا ہے، اور یہ وہ ہے جو کوئی کارڈ آپ کو نہیں دکھاتا۔ Gmail میں، پیغام کھولیں، three-dot menu کو دبائیں، "Show original" کو منتخب کریں، اور SPF، DKIM، اور DMARC پر PASS تلاش کریں۔ ایک نقلی "order shipped" ای میل جو ایک حقیقی retailer کو spoof کرتی ہے عام طور پر DKIM میں ناکام ہوگی یا ایک ایسے domain سے آئے گی جو align نہیں ہوتا۔ خوبصورت کارڈ delivery dates کے بارے میں جھوٹ نہیں بول سکتا؛ headers یہ نہیں بول سکتے کہ اسے کس نے بھیجا۔ وہ tools جو ان headers کو آپ کے لیے پڑھتے ہیں، xmail جیسی AI email میں scam-flagging سمیت، وہی چیز check کر رہے ہیں، بس آپ جو ہاتھ سے کریں اس سے تیز۔

جب کوئی غیر متوقع پیکج کارڈ ظاہر ہو تو آپ کو کیا کرنا چاہیے؟

اس tracking پر بھروسہ کریں جو آپ نے شروع کی ہے، نہ کہ اس پر جو بغیر اطلاع کے آئی۔ اگر کوئی کارڈ ایک delivery کی دعویٰ کرتا ہے جو آپ کو order کرتے ہوئے یاد نہیں ہے تو اس کے link کو دبائیں نہ۔ نقلی markup کے اندر tracking URL پورا نقشہ ہے، اکثر ایک "یہ customs fee ادا کریں" یا "اپنا پتہ تصدیق کریں" صفحے کی طرف لے جاتا ہے جو card details حاصل کرتے ہیں۔ U.S. Postal Inspection Service اور FTC دونوں نے بار بار نقلی-delivery texts اور ای میلز کے بارے میں انتباہ دیا ہے جو بالکل یہی کر رہی ہیں۔

اس کی بجائے، retailer یا carrier کے پاس براہِ راست جائیں، خود پتہ ٹائپ کریں، اور tracking number کو وہاں paste کریں۔ اگر آپ کے اصل account میں آرڈر موجود نہیں ہے تو کارڈ سراسر drama تھا۔ اور اگر آپ یہ click کرنے سے پہلے ایک علامت چاہتے ہیں: ایک genuine shipping ای میل تقریباً ہمیشہ ایک domain سے آتی ہے جس کے ساتھ آپ نے transaction کیا ہے اور DMARC میں کامیاب ہوتی ہے۔ ایک نقلی عام طور پر ایک lookalike domain سے بھیجی جاتی ہے جو alignment میں ناکام ہوتی ہے، ایک کارڈ کے ساتھ اوپر بیٹھا ہوا جیسے ایک نقل uniform۔

@@END@@