Сегодня в спам Gmail прилетело довольно забавное письмо с громкой темой: CASH DONATION FROM HARIRI FOUNDATION. Отправитель сообщил, что некий **Hariri Foundation якобы пожертвовал мне 1 270 000 евро**. Ни заявок на получение миллиона, ни участия в благотворительных программах, разумеется, не было. Самое прекрасное — автор письма отдельно предупредил, что сообщение может оказаться в папке Spam/Junk, и попросил в таком случае перенести его во «Входящие». Спасибо за подсказку, конечно. Но Gmail, кажется, знал, что делал.
Как выглядит письмо CASH DONATION FROM HARIRI FOUNDATION
Текст мошеннического письма очень короткий: > The sum of (1,270,000.00) Euro has been donated to you by Hariri Foundation, Respond back for more details email via [bahwanhariri049@gmail.com](mailto:bahwanhariri049@gmail.com)
>
> Note: This message is not a spam message should incase you find it on your Spam/Junk or folder promotion folder kindly move it to your Inbox
Если перевести смысл на русский язык: > Вам якобы пожертвовали 1 270 000 евро от имени Hariri Foundation. Для получения подробностей предлагается написать на указанный адрес Gmail. Если сообщение попало в спам, отправитель просит перенести его во входящие.
Уже одного содержания достаточно, чтобы отнестись к письму как минимум с огромным подозрением. Но намного интереснее посмотреть не только на текст, а на данные отправителя.
Кто отправил письмо?
В интерфейсе Gmail письмо отображалось от имени: Mr. Bahwan Hariri однако фактический адрес отправителя: [jignesh.dave@rcspl.net](mailto:jignesh.dave@rcspl.net) При раскрытии подробной информации Gmail показывает ещё более интересную картину:
- имя отправителя: Mr. Bahwan Hariri;
- адрес отправителя: [jignesh.dave@rcspl.net](mailto:jignesh.dave@rcspl.net)**;
- Reply-To («Ответить»): [bahwanhariri049@gmail.com]
- mailto:bahwanhariri049@gmail.com);
- отправлено через: ukr.net;
- подписано доменом:*rcspl.net;
- тема: CASH DONATION FROM HARIRI FOUNDATION.
Получается довольно странная конструкция. Письмо якобы связано с Hariri Foundation, приходит с адреса на совершенно другом домене `rcspl.net`, а продолжить общение получателю предлагают уже через обычный адрес `@gmail.com`. Для официального уведомления о пожертвовании размером **1,27 миллиона евро** выглядит, мягко говоря, необычно.
Почему Gmail показывает «Потенциально опасное письмо»
Gmail автоматически поместил сообщение в спам и дополнительно показал большое красное предупреждение: «Потенциально опасное письмо» Также Gmail сообщает, что подобные письма использовались для кражи личной информации, и рекомендует:
- не переходить по ссылкам;
- не скачивать вложения;
- не передавать личные данные.
В данном случае с предупреждением сложно поспорить.
Это точно мошенничество?
По совокупности признаков письмо практически наверняка относится к классической схеме advance-fee scam — мошенничеству с предварительной оплатой. Сценариев существует огромное количество:
- «Вы получили наследство»
- «Вас выбрали для благотворительного пожертвования»
- «Богатый человек решил раздать состояние»
- «На ваше имя зарегистрирована компенсация»
- «Вы выиграли международную лотерею»
- «На банковском счёте находится несколько миллионов долларов, которые нужно перевести вам»
Начало истории меняется, но дальнейший сценарий часто оказывается очень похожим.
Что произойдёт, если ответить мошенникам
На первом этапе от жертвы обычно вообще не требуют денег. Это важно. Если в первом же письме написать «переведите нам 500 евро», большинство людей сразу удалит сообщение. Поэтому сначала потенциальную жертву пытаются втянуть в переписку. После ответа может появиться «представитель фонда», «адвокат», «банковский сотрудник», «финансовый агент» или другой участник истории. Дальше могут попросить предоставить:
- полное имя;
- адрес проживания;
- номер телефона;
- копию паспорта;
- банковские реквизиты;
- название банка;
- IBAN;
- другую персональную информацию.
А затем внезапно выяснится, что для получения 1 270 000 евро необходимо оплатить какую-нибудь сравнительно небольшую сумму. Например: 1250 евро за оформление документов. Или: 480 евро банковской комиссии. Или: 750 евро за международный сертификат перевода. Или даже появляется «налог», «страховой депозит», «AML-проверка», «нотариальный сбор», «комиссия адвоката» и так далее. После первого платежа нередко появляется следующий. Миллион при этом, разумеется, так и не приходит.
Зачем мошенникам Reply-To на другом адресе
Это одна из самых интересных деталей конкретного письма. Сообщение пришло с: [jignesh.dave@rcspl.net](mailto:jignesh.dave@rcspl.net) Но поле Reply-To указывает: [bahwanhariri049@gmail.com](mailto:bahwanhariri049@gmail.com) Поэтому при обычном нажатии кнопки «Ответить» дальнейшая переписка может отправляться уже совсем на другой почтовый ящик. Само наличие Reply-To не является признаком мошенничества — этот механизм совершенно легален и используется обычными почтовыми системами. Подозрительной его делает именно совокупность обстоятельств: Hariri Foundation → rcspl.net → ukr.net → Gmail Для истории о безвозмездной передаче незнакомому человеку **€1 270 000** цепочка получается весьма занимательная.
Что означает «подписано: rcspl.net
Здесь есть важный технический нюанс. Если Gmail показывает, что сообщение **подписано доменом rcspl.net**, это не означает: > Gmail подтвердил, что Hariri Foundation действительно отправил вам 1 270 000 евро. Почтовая аутентификация предназначена прежде всего для проверки технического происхождения сообщения и борьбы с подделкой отправителей. Она не подтверждает правдивость написанного внутри письма. Иными словами, технически корректно отправленное письмо вполне может содержать мошенническое предложение. Поэтому наличие TLS, DKIM и других нормальных почтовых атрибутов само по себе не превращает письмо в настоящее.
Почему мошенники сами пишут «This message is not a spam»
Вот это, пожалуй, моя любимая часть сообщения: This message is not a spam message…” После чего автор объясняет, что если Gmail положил сообщение в Spam/Junk, его следует самостоятельно перенести во входящие. Для легитимного уведомления это чрезвычайно странная просьба. Зато для массовой спам-рассылки она имеет вполне понятный смысл: мошенник заранее предполагает, что почтовые фильтры распознают сообщение как подозрительное. Фактически письмо говорит: > Если ваша почтовая система считает нас мошенниками — пожалуйста, отключите здравый смысл и помогите нам обойти фильтр.
Спасибо, но нет.
## Hariri Foundation действительно раздаёт 1 270 000 евро случайным людям?
Получение подобного письма само по себе **не доказывает никакой связи его автора с реальной организацией или людьми, фамилии которых используются в сообщении**.
Это принципиально важно.
Мошенники постоянно используют названия настоящих компаний, банков, государственных ведомств, благотворительных организаций и фамилии известных состоятельных людей.
Поэтому вопрос следует ставить не так:
**«Существует ли организация с похожим названием?»**
А так:
**«Есть ли доказательства, что конкретно это письмо действительно отправлено уполномоченным представителем этой организации?»**
В рассматриваемом сообщении таких доказательств нет.
Наоборот, адреса отправителя и для ответа только добавляют вопросов.
## Почему именно 1 270 000 евро?
Крупная, но при этом необычно точная сумма — старый психологический приём подобных схем.
Фраза:
**«Мы дадим вам много денег»**
выглядит совсем примитивно.
А:
**«The sum of (1,270,000.00) Euro has been donated to you»**
пытается выглядеть как формальная финансовая запись.
Скобки, два знака после запятой, официальный тон — всё это создаёт видимость документа или банковского уведомления.
Но форматирование цифр не является доказательством существования денег.
## Я получил письмо от [bahwanhariri049@gmail.com](mailto:bahwanhariri049@gmail.com) — что делать?
Если вы нашли эту статью именно потому, что получили письмо с адресом:
**[bahwanhariri049@gmail.com](mailto:bahwanhariri049@gmail.com)**
или сообщение с темой:
**CASH DONATION FROM HARIRI FOUNDATION**
не отправляйте в ответ паспорт, банковские реквизиты, фотографии документов или другие персональные данные.
Не оплачивайте никакие «комиссии за получение пожертвования».
Не устанавливайте программы по просьбе отправителя.
Не сообщайте коды из SMS и приложений банка.
Если письмо уже находится в спаме — там ему вполне комфортно.
## А если я просто отвечу ради интереса?
Лучше этого не делать.
Даже нейтральный ответ подтверждает отправителю, что:
1. почтовый адрес существует;
2. ящик активно используется;
3. владелец читает подобные сообщения;
4. с человеком потенциально можно продолжать общение.
Это может увеличить количество последующего спама и мошеннических писем.
Наблюдать за приключениями миллионеров, которые внезапно решили поделиться состоянием, гораздо безопаснее со стороны.
## Я уже ответил. Это опасно?
Сам факт отправки обычного текстового ответа ещё не означает, что деньги или аккаунт автоматически украдены.
Главное — не продолжать передачу информации.
Если вы уже ответили, но:
* не сообщали пароли;
* не передавали коды подтверждения;
* не отправляли документы;
* не вводили данные банковской карты;
* ничего не оплачивали;
* не устанавливали присланные программы;
то достаточно прекратить переписку и пометить сообщения как спам/фишинг.
Если же какие-либо банковские данные, пароли или документы уже были переданы, действия зависят от того, какая именно информация попала к мошенникам.
## Можно ли нажимать «Письмо безопасно» в Gmail?
В данном случае — **нет**.
Эта кнопка предназначена для ситуаций, когда Gmail ошибочно посчитал настоящее письмо опасным.
Нажимая её для очевидного мошеннического сообщения, пользователь фактически сообщает почтовой системе, что доверяет отправителю.
Если вы не можете независимо подтвердить происхождение подобного письма, гораздо разумнее оставить его в спаме.
## Почему письмо вообще дошло до Gmail?
Спам-фильтры не обязаны полностью блокировать каждое подозрительное сообщение.
Почтовая система может принять письмо, но:
* отправить его в Spam;
* показать предупреждение;
* ограничить некоторые действия;
* заблокировать опасные ссылки или вложения.
Именно это произошло в данном случае.
Поэтому появление письма внутри Gmail вовсе не означает, что Google считает его настоящим.
Наоборот — здесь Gmail довольно недвусмысленно предупредил получателя.
## Короткий FAQ
### CASH DONATION FROM HARIRI FOUNDATION — это спам?
Да, рассмотренное здесь письмо имеет многочисленные признаки мошеннической рассылки и было определено Gmail как потенциально опасное.
### Мне действительно пожертвовали 1 270 000 евро?
Если вы не участвовали ни в каких соответствующих программах и внезапно получили подобное письмо от неизвестного отправителя, рассчитывать на появление €1,27 млн на счёте точно не стоит.
### Кто такой Mr. Bahwan Hariri из письма?
Отображаемое имя отправителя электронной почты само по себе ничего не подтверждает. Его можно указать произвольно. В рассматриваемом письме за отображаемым именем находился адрес `jignesh.dave@rcspl.net`.
### Что такое [bahwanhariri049@gmail.com](mailto:bahwanhariri049@gmail.com)?
Это адрес, указанный в поле Reply-To рассматриваемого подозрительного письма. Именно туда автор предлагает отправлять ответы.
### Что такое [jignesh.dave@rcspl.net](mailto:jignesh.dave@rcspl.net)?
Это адрес отправителя, отображавшийся Gmail в технической информации полученного сообщения. Сам факт использования этого адреса не подтверждает заявленную связь письма с Hariri Foundation.
### Почему отправитель письма и адрес для ответа разные?
Для электронной почты это технически возможно благодаря полю Reply-To. Само по себе это нормально, однако в сочетании с обещанием €1,27 млн неизвестному человеку и другими признаками существенно повышает подозрительность сообщения.
### Что означает «отправлено через ukr.net»?
Это техническая информация о почтовой инфраструктуре, через которую Gmail увидел доставку сообщения. Она не является подтверждением содержания письма и тем более существования обещанного пожертвования.
### Что означает «подписано: rcspl.net»?
Это относится к технической аутентификации электронной почты. Подпись домена может помочь проверить происхождение сообщения, но не доказывает, что написанное в письме является правдой.
### Нужно ли отвечать мошенникам?
Нет. Ответ подтверждает, что ваш почтовый адрес активен, и открывает возможность для дальнейшей социальной инженерии.
### Нужно ли удалять такое письмо?
Можно пометить его как спам или фишинг и удалить. Не переходите по неизвестным ссылкам и не открывайте подозрительные вложения.
## Итог
Письмо **CASH DONATION FROM HARIRI FOUNDATION** с обещанием пожертвования в размере **1 270 000 евро** — прекрасный пример того, как старое «нигерийское письмо» адаптируется под современные почтовые системы.
Меняются фамилии, организации, валюты и легенды.
Не меняется главное:
**незнакомый человек обещает огромную сумму денег и просит начать общение по электронной почте.**
В конкретном экземпляре особенно примечательна комбинация:
**Mr. Bahwan Hariri → [jignesh.dave@rcspl.net](mailto:jignesh.dave@rcspl.net) → Reply-To [bahwanhariri049@gmail.com](mailto:bahwanhariri049@gmail.com) → «мы подарили вам €1 270 000» → «если Gmail считает это спамом, перенесите письмо во входящие».**
Последний пункт, пожалуй, можно считать самым честным предложением во всём письме.
Если вы получили такое же или похожее сообщение — денег отправителю не переводите, документы не отправляйте и банковские данные не сообщайте.
А миллион…
Похоже, придётся пока зарабатывать самостоятельно.
### Хештеги
#HaririFoundation
#CashDonation
#CashDonationFromHaririFoundation
#BahwanHariri
#HaririFoundationScam
#DonationScam
#EmailScam
#Scam
#Мошенничество
#Мошенники
#Спам
#Фишинг
#Gmail
#Безопасность
#ИнтернетМошенничество
#МошенничествоВИнтернете
#ПисьмоОтМошенников
#AdvanceFeeScam
😎 Будь героем текста!
Увидел косяк? 🚬 Орфографический монстр 👻 подкрался незаметно?
✂️ Выделяйте ошибку и нажимайте Ctrl + W
Мы примем удар на себя 👨💻 и всё исправим 🛠️
Спасибо за бдительность!
