那个把你的回复直接发给盗贼的电子邮件头字段

这是一种骗局，给美国企业造成的损失超过勒索软件、恶意软件和数据泄露的总和，通常根本不涉及任何恶意软件。没有恶意链接。没有受感染的附件。没有什么是你的防病毒软件能抓住的。只是一封看起来来自你 CFO 的电子邮件，而回复悄悄发往别处。

别处就是技巧所在。而且它存在于几乎没有电子邮件客户端向你显示的一个头字段中。

这个字段叫做 Reply-To。自互联网邮件标准开始就已经存在 — RFC 5322 将其定义为回复"应该"去往的地址，与 From 地址分开。在合法用途中，它很无聊且很有帮助。一份通讯从 noreply@company.com 发送，但将 Reply-To 设置为 support@company.com，这样你的问题会转给一个真人。就是这样。这是诚实的工作。

商业电子邮件欺诈把那种便利变成了武器。与其费力进行伪造 From 地址的技术工作 — 这会触发 SPF、DKIM 和 DMARC 警报并被标记 — 攻击者只需注册一个外观相似的域名或一次性 Gmail。然后他们把显示名称设置为"Karen Vasquez, CFO"，所以你的收件箱会以粗体显示一个你熟悉的人名。实际的 From 地址可能是 karen.vasquez.finance@gmail.com，但你看不到；你看到的是"Karen Vasquez"。最重要的是，他们把 Reply-To 设置为他们控制的地址。

所以你读了这封电子邮件。很短，似乎真实，有点急促。"你在办公桌前吗？我需要你在银行关闭前处理一笔转账。"你点击回复。你的客户，出于帮助的动机，会把你的回复发送到 Reply-To — 不是 From。现在你在和攻击者交谈，你发送的每一条信息都证实了你上了钩。

这里的规模绝不是一个舍入误差。FBI 的互联网犯罪投诉中心在 2023 年单独记录了$2.9 billion的报告 BEC 损失，涉及 21,000 多起投诉。这是报告的数字，来自注意到并提交的人。真实数字更大，因为已清算的转账看起来像是正常的周二，直到对账。

让这令人恼火的是，防御就在那里且被隐藏了。每个邮件客户端都知道 Reply-To 值。几乎没有人会显示它。Gmail 把发件人压缩为一个显示名称和一个小插入符，你必须点击才能打开。Outlook 把真实地址埋在"查看源代码"或属性对话框下，大多数人从未打开过。那个能够揭露骗局的字段，是接口把它当作垃圾处理的那个字段。

所以养成习惯。在你回复任何涉及金钱、更改银行详情或紧急情况的事情之前，展开头部。在 Gmail 中，点击发件人名称旁的下箭头，然后阅读实际的"reply-to"行。如果 From 说的是一回事而 Reply-To 指向不同的邮箱，就停止。这种不匹配在财务电子邮件中很少是无害的。

更好的是，根本不要回复。给你已经保存的那个人的地址发送一条新信息，或者打电话拨打一个你没有从电子邮件中获得的号码。攻击者指望你呆在他们建立的线程内。

这个骗局令人沮丧的优雅之处在于，它通过不违反任何规则而通过每一项自动化检查。From 地址在技术上是真实的。域名验证得很好。没有什么被伪造。谎言不在管道中 — 它在你的软件决定你不需要看到的那一行中。