Hóa Đơn Giả Mạo Vượt Qua Mọi Kiểm Tra Thư Rác

Một nhà cung cấp mà bạn đã thanh toán hàng chục lần gửi email một hóa đơn mới. Cùng logo, cùng account manager, cùng lời ký kết lịch sự. Điều duy nhất khác biệt là một dòng được chôn giấu trong header của email — và dòng đó vừa chuyển hướng thanh toán $48,000 của bạn cho một người lạ ở một quốc gia khác.

Đây là phần của gian lận hộp thư mà không ai cảnh báo bạn: những hóa đơn nguy hiểm không phải những cái sloppy. Chúng là những cái sạch sẽ. Một kẻ lừa đảo phá vỡ tài khoản email của một công ty thực tế không phải giả mạo bất cứ điều gì. Thư được gửi đi từ miền thực tế, ký bằng các khóa thực tế. SPF vượt qua. DKIM vượt qua. DMARC vượt qua. Bộ lọc thư rác của bạn lơ là và cho phép nó qua, vì theo toán học thì đây là thư hợp lệ. Nó đúng như vậy. Chỉ là nó được gửi bởi một con người sai.

Đó là lý do tại sao business email compromise là scam đắt giá nhất, và nó không gần như vậy. Trung tâm Phàn Nàn Tội Phạm Internet của FBI ghi nhận khoảng $2.9 billion tổn thất BEC chỉ trong năm 2023 — những chuyển khoản có vì một email trông, theo mọi biện pháp tự động, hoàn toàn ổn. Không phần mềm độc hại. Không liên kết đáng ngờ. Chỉ là một yêu cầu đáng tin cập nhật chi tiết thanh toán, được gửi từ một inbox đã bị chiếm đoạt im lặng.

Vì vậy, nếu điểm spam không sẽ cứu bạn, thì cái gì sẽ?

Hai dòng header bạn có thể đọc trong chưa đến một phút: Reply-To và Return-Path.

Đây là sự khác biệt, theo các thuật ngữ thông thường. Địa chỉ From là cái bạn thấy ở mặt trước của bì thư. Return-Path là nơi các thư bounce đi nếu giao hàng không thành công — "người gửi" kỹ thuật mà máy chủ nhận thực sự quan tâm. Và Reply-To là địa chỉ mà câu trả lời của bạn im lặng sẽ được gửi đến khi bạn nhấn nút. Như DMARC.org nêu rõ, chúng có thể hợp lệ khác nhau, và đó chính xác là điều làm cho chúng hữu ích như một dấu hiệu. Trên thư trung thực từ một nhà cung cấp, cả ba thường xếp hàng dưới cùng một miền. Trên scam tài khoản bị hack, kẻ tấn công thường để From không bị chạm — nó phải trông thực tế — nhưng trượt vào Reply-To chỉ đến nơi khác. accounts@yourvendor.com ở phía trước, accounts.yourvendor@gmail.com khi trả lời. Miền khác. Đôi khi chỉ cách một ký tự.

Kẻ tấn công làm điều này vì một lý do đơn giản. Họ có thể kiểm soát mailbox bị hack ngay bây giờ, nhưng họ không muốn câu trả lời của bạn hạ cánh trở lại inbox của chủ sở hữu thực tế, nơi nhân viên thực tế có thể nhận thấy một hóa đơn mà họ chưa bao giờ gửi. Vì vậy, họ chuyển hướng cuộc trò chuyện đến một địa chỉ mà họ hoàn toàn kiểm soát. Chuyển hướng đó là dấu vân tay.

Tìm nó mất khoảng 20 giây. Trong Outlook, mở tin nhắn và sử dụng File → Properties để xem các header internet; Microsoft ghi lại định dạng header đầy đủ nếu bạn muốn đọc từng dòng. Trong Gmail, nhấn menu ba chấm và chọn Show original. Quét tìm Reply-To: và Return-Path:. Nếu một trong hai chỉ đến một miền không phải của người gửi — hoặc đến một tài khoản webmail miễn phí khi bạn mong đợi một tài khoản công ty — dừng lại. Đừng trả lời email. Gọi nhà cung cấp trên một số bạn đã có, không phải số in trong tin nhắn.

Không có điều này yêu cầu bạn phải kỹ thuật. Nó yêu cầu bạn phải nghi ngờ chính xác những email không kích hoạt bất kỳ cảnh báo nào. Một dấu kiểm xanh từ bộ lọc của bạn có nghĩa là tin nhắn không bị giả mạo. Nó không nói gì về ai đang nắm giữ các khóa vào tài khoản đã gửi nó.

Những scam rút các tài khoản vào năm 2024 không trông giống như scam. Chúng trông giống như Thứ Ba. Header là nơi nói dối vẫn phải sống.