您的防病毒软件永远没机会对抗一封空白电子邮件

一家中等规模公司的薪资文员收到一封来自首席执行官的电子邮件。没有附件。没有链接。只是五行字，要求她在中午截止前向一个新供应商进行紧急转账，请保密，我们正在完成收购。她转了$180,000。这不是首席执行官发的。公司花钱购买的每一款安全软件都看不出任何问题，因为根本没有问题。

这就是商业电子邮件泄露，它是您收件箱中成本最高的犯罪，没有之一。FBI互联网犯罪投诉中心2023年单年就记录了$2.9亿美元的报告BEC损失。勒索软件，那个让所有人都惊慌失措的东西，那个有骷髅头图形和倒计时计时器的东西？同年报告损失约为$59.6百万。BEC击败它的倍数接近五十倍。其中一个登上新闻头条。另一个获取你的钱。

防病毒在这里失败的原因几乎令人尴尬。恶意软件扫描程序通过检查代码来工作——一个附件、一个可执行文件、隐藏在电子表格中的宏。它们将其与已知的恶意签名进行比较，或在沙盒中观察其行为。BEC电子邮件向它们提交一张以你老板的语气写的纯文本笔记。没有要引爆的有效负载。武器是一个句子。

这意味着防御不能是扫描程序。它必须是一个习惯，这个习惯存在于标题中。

这是大多数人从不寻找的线索。发件人字段和回复至字段是两个不同的东西，诈骗者利用这个间隙。发件人行显示你信任的名称和地址——ceo@yourcompany.com，拼写正确。但一旦你点击回复，邮件悄悄地路由到ceo.finance@gmail-secure-mail.com或攻击者实际控制的某个一次性域名。你的回复，包括转账确认，直接发送给骗子。显示名称撒了谎。回复至说了真话。

所以在对任何资金请求采取行动之前，训练自己展开标题。在Gmail中，点击发件人名称下的小箭头。在Outlook中，打开邮件详情。如果回复至与发件人不匹配，停止。如果域名相差一个字符——rn假扮m，.co假扮.com——停止。

更复杂的版本甚至不费力冒充你自己的域名。它冒充你已经支付的真实供应商。攻击者在被泄露的供应商账户上坐几周，阅读实际的发票线程，然后在完美的时刻发送电子邮件："我们已经更新了我们的银行详情，请使用新账户。"这个变体之所以令人讨厌，正是因为电子邮件是真实的——它来自供应商的真实、被泄露的收件箱。SPF、DKIM和DMARC都完美通过，因为邮件确实来自它声称的地方。身份验证证实了发件人。它无法证实发件人的诚实。

这是所有这一切底下令人不适的真相：整个骗局运行在信任和仓促上，这两个东西是任何签名数据库都无法衡量的。一个"从不这样使用电子邮件"的首席执行官突然这样做了。一个为你计费三年方式相同的供应商突然改变账户。请求总是以你无法在中午前验证的理由到达。

所以通过另一个渠道验证。打你已经有的号码——不是电子邮件中的号码。一个十秒钟的电话通话比任何带防火墙名字的产品更可靠地阻止了六位数的转账。诈骗者赌的是你不会打电话。证明他们错了。