Спам: обемът
Спамът е непоискана поща, изпращана масово. Той дразни и отнема време, но рядко търси конкретна жертва.
Какво го издава: репутацията на сървъра или домейна, от който идва, домейн, създаден преди няколко дни, рекламно съдържание, повторено идентично при хиляди получатели. Филтър по репутация и съдържание го спира добре, а целеното задържане на непознати податели отсече част от автоматизираните изпращания.
Да се различава: „сивата“ поща. Бюлетин, за който някой се е абонирал, или промоция от познат доставчик не са спам. Отделното им класифициране предотвратява затрупването на кутията, без да се блокира очаквано съобщение.
Фишинг: достоверността
Френската национална служба за помощ на жертви, cybermalveillance.gouv.fr, описва фишинга като фалшиво съобщение, което се представя за доверена трета страна (банка, държавна институция, доставчик, социална мрежа), за да открадне данни за вход, пароли или банкови данни. Честите форми в дружествата:
- фалшива страница за вход в пощата или в споделените файлове;
- имитирана известна марка: куриерска фирма, банка, софтуерна компания;
- QR код в изображение, който премества връзката от компютъра към телефона;
- съобщение, което поканва да се обадите на фалшив номер на поддръжка.
Удостоверяването на домейна тук не е достатъчно. Измамник, който купи домейн, сходен с вашия, може да настрои безупречно SPF, DKIM и DMARC за този домейн: съобщението му е автентично… за домейн, който не е вашият. Издава го приликата с известна марка или домейн, възрастта на домейна, репутацията на връзките, съдържанието.
Когато фишингът се цели в конкретен човек, за да се получи превод, той се превръща в измама „фалшив ръководител“: вижте Подправяне на самоличност и измама „фалшив ръководител“. Какво всъщност спират SPF, DKIM и DMARC, е описано в SPF, DKIM и DMARC: какво защитават и какво не.
Зловреден софтуер: прикаченият файл или връзката
Злонамерената програма пристига в прикачен файл или зад връзка: Office документ, който иска да се разрешат макросите, заразен PDF, HTML файл, който имитира страница за вход, архив, изображение с QR код. Самото съобщение може да е банално („вашата фактура“, „споделен документ“).
Отговорът се отнася до файла и връзката: антивирус, проверка на макросите и PDF файловете, разчитане на QR кодовете, репутация на адресите и проверка в момента на щракване. Ръководството Прикачени файлове, връзки и рансъмуер в имейлите описва какво се проверява и какво остава човешко действие.
Компрометиран акаунт: истинската кутия
Тук съобщението тръгва от истинска кутия – на доставчик, клиент или колега, чиято парола е открадната. SPF преминава, DKIM подписът е валиден, подателят е познат. Филтър, който се пита само „непознат или лошо удостоверен ли е подателят?“, не вижда нищо.
Знаците са в поведението:
- обичаен кореспондент внезапно пише на необичайни получатели или на голям брой хора;
- тон, език или час, които не му приличат;
- ново искане: смяна на банковата сметка, неочаквана връзка за споделяне, документ „за спешно подписване“;
- отговор, вмъкнат в стара кореспонденция, за да се използва нейната достоверност.
Две ситуации, които трябва да се разграничат. Когато ви пише акаунтът на трета страна, филтърът за входяща поща може да забележи аномалията. Когато става дума за вашия собствен акаунт, въпросът е преди всичко на вашата пощенска система: парола, двуфакторна автентикация, известия за влизане, правила за препращане, добавени от нападателя. Това не е същият проект като външния фишинг, дори ако често започва с фишинг.
Четири заплахи, четири отговора
| Заплаха | Какво я издава | Основен отговор | Какво не е достатъчно |
|---|
| Спам | Обем, репутация, нов домейн | Репутация и съдържание, целено задържане | Изтриване на ръка |
| Фишинг | Имитирана марка или домейн, съмнителна връзка | Разпознаване на подправяне, анализ на връзките и QR кодовете | Само SPF, DKIM и DMARC |
| Зловреден софтуер | Прикачен файл или връзка | Анализ на файловете, защита при щракване | Антиспам по репутация |
| Компрометиран акаунт | Промяна в навиците на познат подател | Разпознаване на аномалия, след това сигурност на акаунта | Черен списък на податели |
Пример, за илюстрация. В един и същ понеделник малка фирма получава вълна от реклами за принтери, фалшиво известие за доставка с QR код, „фактура“ във формат HTML и съобщение от счетоводителя на постоянен клиент, който обявява нова банкова сметка. Първите три са задача на филтъра. Четвъртото идва от истинска кутия: филтърът може да сигнализира аномалията, но решава обаждането на вече известния номер на клиента.
Как работи модерното филтриране
Съвременният филтър не решава по един-единствен критерий. Той изчислява оценка въз основа на няколко сигнала:
- автентичността на подателя: SPF, DKIM, DMARC, репутация на сървъра и домейна, възраст на домейна;
- съобщението: връзки, текст, известни сценарии за измама, прилика с марка или вътрешно име;
- прикачените файлове: антивирус, макроси, PDF, изображения;
- контекстът: едно и също съобщение, изпратено до много получатели (кампания), или обичаен подател, който променя поведението си.
Оценката води до степенувано решение: доставяне, карантина, отхвърляне или отлагане на непознат подател. Карантината е също толкова важна, колкото отхвърлянето: легитимно съобщение, отделено по грешка, трябва да може да бъде намерено и освободено, вижте Карантина, фалшиви сигнали и докладване.
Докладванията на потребителите, „това е спам“ или „това е легитимно“, след това коригират репутацията на подателите. Филтър, който се учи от грешките си, дава по-малко фалшиви сигнали.
Често задавани въпроси
Защо все още получаваме спам при добър филтър?
Защото филтърът търси баланс между това да блокира твърде много и да пропуска. Настройка, която не пропуска нищо, отделя и очаквани съобщения.
Безопасно ли е съобщение, което преминава DMARC?
Не. Това доказва, че показаният домейн е разрешил изпращането, а не че съдържанието е честно. Вижте SPF, DKIM и DMARC: какво защитават и какво не.
Какво да направим с вече получено подозрително съобщение?
Да не щракам, да не отговарям, да го докладваме на администратора, вместо да го изтриваме. Cybermalveillance.gouv.fr препоръчва също при съмнение да се свържете с организацията по канал, който познавате.
Акаунтът на колега изпраща странни съобщения: какво да направим?
Да уведомим администратора на пощенската система, който сменя паролата, проверява двуфакторната автентикация и правилата за препращане. Това не е настройка на филтъра.
Къде е Klytic
Klytic MTA анализира всяко съобщение на слоеве, преди кутията, пред всяка пощенска система.
- Автентичност (Essential и Advanced): SPF, DKIM, DMARC, включително за препратени съобщения, репутация на сървърите и домейните, възраст на домейните, целено задържане на непознати податели.
- Съобщение (Essential и Advanced): антифишинг, подправяне на марка, домейни двойници и показвано име, QR кодове, разпознаване на кампании и необичайно поведение на подател, сортиране на бюлетини.
- Прикачени файлове (Essential и Advanced): антивирус, Office макроси, PDF; опасните файлове се премахват с информационно съобщение. Advanced добавя заразените HTML файлове и скрития текст в изображенията.
- В момента на щракване (Advanced): връзките се анализират отново, когато потребителят щракне.
- Финансови измами (Advanced): измама „фалшив ръководител“, фалшиви фактури, фалшиви преводи и други сценарии.
Докладванията на потребителите захранват общо обучение между инстанциите, а съобщенията с неясна оценка се арбитрират от ИИ модел и в двата плана. Какво получава този модел, е обяснено в ИИ във филтрирането на имейли.
Ограничение: Klytic MTA вижда пощата, която минава през него. Сигурността на собствените ви акаунти (пароли, двуфакторна автентикация, влизания) остава задача на вашата пощенска система.
Източници
Консултирани през октомври 2026 г.
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“: определение на фишинга, представяне за доверена трета страна, кражба на данни за вход и банкови данни, съвети за проверка. cybermalveillance.gouv.fr
- RFC 7489, DMARC: механизмът не обхваща нито визуално сходните домейни, нито злоупотребата с показваното име, нито анализа на съдържанието. rfc-editor.org
- Klytic, страница Klytic MTA: слоеве на анализ и модули на плановете Essential и Advanced, опции, начини на внедряване, пускане в действие чрез MX. klytic.com
