Gmail 在你阅读前就读取了你的收据，骗子们对此心知肚明

那张整洁的卡片出现在你收件箱顶部，显示你的 Amazon 订单将在周四送达，并非由某个读懂你心思的 AI 变出来的。Gmail 找到了发件人埋在邮件 HTML 中的一段 schema.org 标记，解析了它，然后为你生成了这张卡片。这意味着，粘贴相同标记的骗子可以让假订单看起来和真订单一样确认无误。

Gmail 如何在你阅读邮件前就知道包裹要来了？

发件人用 Gmail 要求他们使用的机器可读语言告诉它。Google 的电子邮件标记开发者文档很明确：零售商和航空公司在邮件 HTML 内使用 schema.org 词汇嵌入结构化数据，格式可以是 JSON-LD 或微数据。订单确认包含一个 Order 对象，其中有 orderNumber、orderStatus 等字段，以及一个嵌套的 ParcelDelivery，包含 expectedArrivalUntil 和跟踪 URL。航班包含一个 FlightReservation，其中有出发机场、登机口、登机时间。

Gmail 的解析器读取这些字段，并在收件箱顶部和邮件内部将其呈现为高亮显示。没有什么 AI 在"理解"你的行程计划。它只是像浏览器读取地址字段一样读取标记数据。几乎所有的智能都来自发件人的 HTML，而不是 Google 的黑箱。

为什么这会让假订单更令人信服，而不是更不可信？

因为标记只是文本，文本可以复制。"这张卡片说你的订单已发货"和"这个订单是真的"之间没有密码学联系。Google 的模式注册流程在大规模启用富卡片之前会检查发件人的消息量和格式，但基础的 JSON-LD 就明摆在你收到的每一份合法确认邮件的 HTML 源代码中。打开一封邮件，查看源代码，就在那儿。

骗子抓取那段代码块，替换成自己的跟踪链接和假订单号，然后发送出去。如果邮件通过了身份验证，Gmail 可能会很高兴地在一封纯粹是诱饵的邮件上方绘制一张清晰的"即将送达"卡片。你在百次真实交付中建立起来的视觉信任被免费借用了。这张卡片看起来很正式，因为格式是正式的。内容则是发件人输入的任何东西。

什么真正区分了真实确认和伪造确认？

不是卡片。是它下面的身份验证标头。三项检查决定了发件人是否是他们声称的身份：SPF 确认发送服务器被授权用于该域名，DKIM 是邮件正文上的密码学签名，DMARC 告诉接收者当 SPF 或 DKIM 失败时该怎么做。从 2024 年 2 月开始，Google 和 Yahoo 规定，对于每天向其用户发送超过 5,000 条邮件的任何人，这些都是强制性的。没有有效 DMARC 的大容量发件人会被拒收或放入垃圾邮件。

这是值得信任的层，也是卡片不会向你展示的一层。在 Gmail 中，打开邮件，点击三点菜单，选择"显示原始邮件"，查找 SPF、DKIM 和 DMARC 上的 PASS。伪造的"订单已发货"邮件若冒充真实零售商，通常会在 DKIM 上失败或来自不匹配的域名。精美的卡片无法谎报送达日期；标头无法谎报发件人身份。读取这些标头的工具，包括xmail 等 AI 电子邮件中的防诈骗功能，都在检查同样的东西，只是比你手工操作要快得多。

当一张意外的包裹卡片出现时你应该怎么做？

相信你主动发起的跟踪，而不是无故送达的跟踪。如果一张卡片声称送达了你不记得订购的东西，不要点击它的链接。伪造标记内的跟踪 URL 就是这个骗局的全部要点，通常指向"支付这笔关税"或"确认你的地址"页面，这些页面会窃取卡片详情。美国邮政检查服务和 FTC 都多次警告过假快递短信和电子邮件的这种做法。

相反，直接去零售商或快递公司，自己输入地址，然后在那里粘贴跟踪号。如果该订单在你的真实账户中不存在，这张卡片就只是演戏。如果你想在点击前就看出端倪：真正的发货邮件几乎总是来自你进行过交易的域名，并通过 DMARC。伪造的邮件经常从一个失败对齐的相似域名发送，卡片坐在上面就像一件借来的制服。