通过了每项垃圾邮件测试的假发票

一个你付过一打次的供应商发来一份新发票。相同的标志，相同的客户经理，相同的礼貌结尾。唯一的区别是隐藏在邮件头中的一行——而正是这一行把你的 $48,000 转账重新路由到了另一个国家的陌生人手中。

这是收件箱诈骗中没人警告你的部分：危险的发票不是那些草率的。它们是干净的。破入真实商业邮箱的诈骗者不必伪造任何东西。邮件来自真实域名，用真实密钥签名。SPF 通过。DKIM 通过。DMARC 通过。你的垃圾邮件过滤器耸耸肩放它通过，因为从数学角度讲，这是合法邮件。它确实是。只是被错误的人发送了。

这就是为什么商业邮箱入侵是成本最高的诈骗，而且差距不小。FBI 的互联网犯罪投诉中心记录了仅在 2023 年就有大约 $2.9 billion 的 BEC 损失——基于看起来在每项自动化衡量中都完全正常的邮件发出的电汇转账。没有恶意软件。没有可疑链接。只是一份看起来可信的更新支付详情请求，来自一个被悄悄劫持的收件箱。

那么，如果垃圾邮件评分救不了你，什么能救你呢？

两行邮件头你可以在一分钟内读完：Reply-To 和 Return-Path。

区别很简单。From 地址是你在信封正面看到的。Return-Path 是投递失败时退回邮件的去向——接收服务器真正关心的技术"发件人"。而 Reply-To 是你按下回复按钮时你的回复会被悄悄发送到的地址。正如 DMARC.org 所述，这些可以合法地不同，这正是它们有用之处所在。在来自供应商的诚实邮件上，这三者通常都在同一域名下对齐。在被劫持账户的诈骗上，攻击者通常会保持 From 不变——它必须看起来真实——但在 Reply-To 中滑入指向其他地方的地址。accounts@yourvendor.com 在正面，accounts.yourvendor@gmail.com 在回复。不同的域名。有时只差一个字符。

攻击者这样做有个简单原因。他们可能现在控制着被入侵的邮箱，但他们不希望你的回复落回真实所有者的收件箱，那里真实的员工可能会注意到一份他们从未发送过的发票。所以他们把对话重定向到一个他们完全控制的地址。这个重定向就是指纹。

找到它大约需要 20 秒。在 Outlook 中，打开邮件并使用 File → Properties 查看互联网邮件头；如果你想读每一行，Microsoft 提供了完整的邮件头格式文档。在 Gmail 中，点击三点菜单并选择 Show original。扫描 Reply-To: 和 Return-Path:。如果其中任何一个指向的域名不是发件人的——或当你期望看到公司邮箱时指向免费网络邮箱——停止。不要回复邮件。拨打你已有的号码联系供应商，而不是邮件中印有的号码。

这一切都不需要你具备技术知识。它需要你对完全不会触发任何警报的邮件保持怀疑。来自过滤器的绿色勾号意味着邮件没有被伪造。它对于谁掌握发送它的账户的密钥没有任何说明。

2024 年抽干账户的诈骗看起来不像诈骗。它们看起来像星期二。邮件头是谎言仍然必须存在的地方。