Spam: mængden
Spam er uønsket post, der sendes i store mængder. Det er irriterende og koster tid, men det går sjældent efter et bestemt offer.
Det, der afslører det: omdømmet hos den server eller det domæne, der sender det, et domæne oprettet for få dage siden, reklameindhold, der gentages helt ens hos tusindvis af modtagere. Et omdømme- og indholdsfilter stopper det effektivt, og en målrettet tilbageholdelse af ukendte afsendere (greylisting) frasorterer en del af de automatiserede udsendelser.
Skal skelnes fra: grå post. Et nyhedsbrev, som nogen har abonneret på, eller et tilbud fra en kendt leverandør er ikke spam. At sortere dem for sig undgår at oversvømme postkassen uden at blokere en ventet e-mail.
Phishing: troværdigheden
Den franske nationale hjælpetjeneste for ofre, cybermalveillance.gouv.fr, beskriver phishing som en falsk meddelelse, der udgiver sig for at komme fra en betroet tredjepart (bank, myndighed, leverandør, socialt netværk) for at stjæle loginoplysninger, adgangskoder eller bankoplysninger. De almindelige former i virksomheder:
- en falsk loginside til e-mailsystemet eller fildelingen;
- et kendt varemærke, der efterlignes: fragtfirma, bank, softwareleverandør;
- en QR-kode i et billede, der flytter linket fra computeren til telefonen;
- en e-mail, der opfordrer til at ringe til et falsk supportnummer.
Godkendelse af domænet er ikke nok her. En svindler, der køber et forvekslingsdomæne, der ligner jeres, kan konfigurere SPF, DKIM og DMARC perfekt for netop det domæne: e-mailen er ægte … for et domæne, der ikke er jeres. Det, der afslører den, er ligheden med et kendt varemærke eller domæne, domænets alder, linkenes omdømme og indholdet.
Når phishing går efter en bestemt person for at opnå en overførsel, bliver det til direktørsvindel: se Identitetsforfalskning og direktørsvindel. Hvad SPF, DKIM og DMARC reelt stopper, er beskrevet i SPF, DKIM og DMARC.
Malware: den vedhæftede fil eller linket
Det skadelige program kommer i en vedhæftet fil eller bag et link: et Office-dokument, der beder om at aktivere makroer, en manipuleret PDF, en HTML-fil, der efterligner en loginside, et arkiv, et billede med en QR-kode. Selve e-mailen kan være helt almindelig (»jeres faktura«, »delt dokument«).
Svaret retter sig mod filen og linket: antivirus, inspektion af makroer og PDF-filer, aflæsning af QR-koder, adressernes omdømme og derefter kontrol i det øjeblik, der klikkes. Vejledningen Vedhæftede filer, links og ransomware i e-mails beskriver, hvad der undersøges, og hvad der fortsat er en menneskelig handling.
Kompromitteret konto: den rigtige postkasse
Her sendes e-mailen fra en rigtig postkasse, tilhørende en leverandør, en kunde eller en kollega, hvis adgangskode er blevet stjålet. SPF godkendes, DKIM-signaturen er gyldig, afsenderen er kendt. Et filter, der kun spørger »er afsenderen ukendt eller dårligt godkendt?«, ser intet.
Tegnene ligger i adfærden:
- en fast korrespondent, der pludselig skriver til usædvanlige modtagere eller til mange;
- en tone, et sprog eller et tidspunkt, der ikke ligner vedkommende;
- en ny anmodning: ændring af bankoplysninger, uventet delingslink, dokument, der skal »underskrives straks«;
- et svar indsat i en gammel e-mailtråd for at udnytte dens troværdighed.
To situationer skal holdes adskilt. Når det er en tredjeparts konto, der skriver til jer, kan det indgående filter opdage afvigelsen. Når det er jeres egen konto, er det først og fremmest et anliggende for jeres e-mailsystem: adgangskode, totrinsgodkendelse, advarsler om logins, videresendelsesregler tilføjet af angriberen. Det er ikke samme projekt som ekstern phishing, selv om det ofte begynder med phishing.
Fire trusler, fire svar
| Trussel | Hvad der afslører den | Primært svar | Hvad der ikke er nok |
|---|
| Spam | Mængde, omdømme, nyt domæne | Omdømme og indhold, målrettet tilbageholdelse | At slette manuelt |
| Phishing | Efterlignet varemærke eller domæne, tvivlsomt link | Registrering af identitetsforfalskning, analyse af links og QR-koder | SPF, DKIM og DMARC alene |
| Malware | Vedhæftet fil eller link | Analyse af filer, beskyttelse ved klik | Et omdømmebaseret spamfilter |
| Kompromitteret konto | Ændrede vaner hos en kendt afsender | Registrering af afvigelser, derefter sikring af kontoen | En sortliste over afsendere |
Et eksempel til illustration. Samme mandag modtager en mindre virksomhed en bølge af reklamer for printere, en falsk leveringsmeddelelse med en QR-kode, en »faktura« i HTML-format og en e-mail fra bogholderen hos en fast kunde, der meddeler et nyt kontonummer. De tre første håndteres af filteret. Den fjerde kommer fra en rigtig postkasse: filteret kan markere afvigelsen, men det er et opkald til kundens allerede kendte nummer, der afgør sagen.
Sådan fungerer en moderne filtrering
Et moderne filter træffer ikke sin beslutning ud fra et enkelt kriterium. Det beregner en score ud fra flere signaler:
- afsenderens ægthed: SPF, DKIM, DMARC, serverens og domænets omdømme, domænets alder;
- e-mailen: links, tekst, kendte svindelscenarier, lighed med et varemærke eller et internt navn;
- vedhæftede filer: antivirus, makroer, PDF-filer, billeder;
- konteksten: den samme e-mail sendt til mange modtagere (en kampagne) eller en fast afsender, der ændrer adfærd.
Scoren fører til en graderet beslutning: lever, sæt i karantæne, afvis eller udskyd en ukendt afsender. Karantænen tæller lige så meget som afvisningen: en legitim e-mail, der ved en fejl er lagt til side, skal kunne findes og frigives, se Karantæne, falske positiver og indberetninger.
Brugernes indberetninger, »dette er spam« eller »dette er legitimt«, justerer derefter afsendernes omdømme. Et filter, der lærer af sine fejl, giver færre falske positiver.
Ofte stillede spørgsmål
Hvorfor modtager man stadig spam med et godt filter?
Fordi et filter afvejer mellem at blokere for meget og at lukke for meget igennem. En indstilling, der intet lukker igennem, lægger også ventede e-mails til side.
Er en e-mail, der består DMARC, sikker?
Nej. Den beviser, at det viste domæne har godkendt afsendelsen, ikke at indholdet er ærligt. Se SPF, DKIM og DMARC.
Hvad gør man med en mistænkelig e-mail, der allerede er modtaget?
Klik ikke, svar ikke, og indberet den til administratoren i stedet for at slette den. Cybermalveillance.gouv.fr anbefaler også ved tvivl at kontakte organisationen via en kanal, man kender.
En kollegas konto sender mærkelige e-mails: hvad gør man?
Giv administratoren af e-mailsystemet besked, så adgangskoden skiftes, og totrinsgodkendelse og videresendelsesregler kontrolleres. Det er ikke en indstilling i filteret.
Hvor Klytic står
Klytic MTA analyserer hver e-mail i lag, før postkassen, foran ethvert e-mailsystem.
- Ægthed (Essential og Advanced): SPF, DKIM, DMARC, også for videresendte e-mails, serveres og domæners omdømme, domæners alder, målrettet tilbageholdelse af ukendte afsendere.
- E-mail (Essential og Advanced): anti-phishing, misbrug af varemærker, forvekslingsdomæner og visningsnavne, QR-koder, registrering af kampagner og usædvanlig adfærd hos en afsender, sortering af nyhedsbreve.
- Vedhæftede filer (Essential og Advanced): antivirus, Office-makroer, PDF; farlige vedhæftede filer fjernes med en orienterende meddelelse. Advanced tilføjer manipulerede HTML-filer og skjult tekst i billeder.
- I øjeblikket for klikket (Advanced): links analyseres igen, når brugeren klikker.
- Finansiel svindel (Advanced): direktørsvindel, falske fakturaer, falske overførsler og andre scenarier.
Brugernes indberetninger indgår i en fælles læring mellem instanserne, og e-mails med en tvetydig score vurderes af en AI-model i begge abonnementer. Hvad denne model modtager, forklares i AI i filtrering af e-mails, og hvad der forlader virksomheden.
Begrænsning: Klytic MTA ser den post, der passerer igennem den. Sikkerheden for jeres egne konti (adgangskoder, totrinsgodkendelse, logins) hører fortsat under jeres e-mailsystem.
Kilder
Gennemgået i oktober 2026.
- Cybermalveillance.gouv.fr, »Que faire en cas de phishing ou hameçonnage ?«: definition af phishing, efterligning af en betroet tredjepart, tyveri af loginoplysninger og bankoplysninger, råd om kontrol. cybermalveillance.gouv.fr
- RFC 7489, DMARC: mekanismen behandler hverken visuelt lignende domæner, misbrug af visningsnavnet eller analyse af indholdet. rfc-editor.org
- Klytic, siden Klytic MTA: analyselag og moduler i abonnementerne Essential og Advanced, tilvalg, driftsformer, idriftsættelse via MX. klytic.com
