המייל מגיע מהמנכ"ל של החברה שאתם עובדים בה. מצורפת אליו התכתבות שכבר התנהלה כביכול בינו לבין הספק, ובתוכה חשבונית שנתית על שם ServiceNow, פלטפורמה שארגונים באמת משלמים עליה. הבקשה בסוף פשוטה: להעביר קרוב ל-50 אלף דולר בהעברה בנקאית. אין קובץ נגוע ואין קישור זדוני, ולכן גם אין למה שיתריע.

מה קרה

חוקרי מיקרוסופט ספרו בין 3 ל-5 באוגוסט יותר ממיליון הודעות מהסוג הזה. התוקפים התחזו לבכירים בארגון הנמען עצמו, מנכ"ל, סמנכ"ל כספים או נשיא, ופנו למי שמאשר תשלומים לספקים. כדי שהפנייה תיראה כמו המשך של משהו קיים הם צירפו שרשור מיילים מפוברק בין אותו בכיר לבין הספק, וחשבונית מעוצבת עם המיתוג הנכון. לתרמית הזאת, שבה תוקף מתחזה לבעל תפקיד בארגון כדי להוציא ממנו העברה כספית, קוראים Business Email Compromise, ובקיצור BEC.

ההודעות נשלחו דרך חשבונות אצל כמה שירותי דיוור חיצוניים, והקישורים הובילו לדומיינים שנרשמו כדי להיראות נכון במבט חטוף, בהם service-nowinc[.]com. מיקרוסופט מדגישה שלא נמצאה שום עדות לכך ש-ServiceNow עצמה נפרצה או הייתה מעורבת; רק השם שלה שימש כתפאורה. 87.7 אחוז מנפח הקמפיין כוון לנמענים בארצות הברית, בעיקר בחברות שירותי IT וייעוץ, מוצרי צריכה ונדל"ן.

מה שמעניין את מיקרוסופט הוא איך התבניות נבנו. בקוד ה-HTML של ההודעות היא מצאה כמות חריגה של הערות, חלוקה מסודרת לקטעים עם תוויות, ומבנה אחיד להפליא בין הודעות שאמורות היו להיראות אישיות. לפי החברה זה עקבי עם תוכן שנוצר בעזרת מודל שפה. (אחד הסימנים שהיא מונה, אגב, הוא שימוש כבד בקו מפריד ארוך.) מיקרוסופט גם כותבת במפורש שהסימנים האלה אינם מוכיחים כמה מהתוכן נכתב באמת על ידי AI, וזו הסתייגות שכדאי לזכור כשקוראים כותרות על "הונאות AI".

למה זה חשוב לכם

הקמפיין הספציפי הזה כוון כמעט כולו לארצות הברית, אז אם קיבלתם מייל כזה בעברית, זה כנראה לא הוא. אבל המנגנון לא תלוי בשפה ולא במדינה, והוא מגיע גם לכאן: לעסק קטן שבו בן משפחה מנהל את התשלומים, למשרד שבו מזכירה מאשרת העברות לספקים, ולכל מי שמקבל חשבונית במייל. מה שהשתנה הוא המחיר. פעם התאמה של הודעה לארגון מסוים דרשה עבודה ידנית, ולכן ההונאות היו כלליות ומלאות שגיאות. היום אפשר לייצר מיליון גרסאות מותאמות בשלושה ימים.

מה עושים?

כל בקשה להעביר כסף או לשנות פרטי חשבון בנק של ספק מאומתת בטלפון לפני התשלום, למספר שכבר יש לכם ולא למספר שמופיע במייל. לא בתשובה למייל עצמו.

הסתכלו על כתובת השולח האמיתית ועל הדומיין שאליו מוביל הקישור, לא על השם המוצג. service-nowinc נראה כמעט כמו servicenow, וזה כל התכסיס.

התכתבות מצורפת אינה הוכחה לכלום. כל אחד יכול להדביק טקסט של שרשור מיילים שלא היה ולא נברא.

בעסק, קבעו כלל קבוע מראש: מעל סכום מסוים נדרש אישור של שני אנשים בשתי דרכים שונות. אם כבר שולם, פנו מיד לבנק כדי לנסות לעצור את ההעברה ודווחו למוקד 119 של מערך הסייבר הלאומי.

המייל הזה לא מנסה לפרוץ לשום דבר. הוא מנסה להיראות כמו יום רגיל בעבודה, וזה החלק שאי אפשר לתקן בעדכון תוכנה.