Roskaposti: määrä
Roskaposti on pyytämätöntä, massana lähetettyä postia. Se on hankalaa ja vie aikaa, mutta harvoin se etsii tiettyä uhria.
Mikä sen paljastaa: lähettävän palvelimen tai verkkotunnuksen maine, muutama päivä sitten luotu verkkotunnus, tuhansille vastaanottajille identtisenä toistuva mainossisältö. Maineeseen ja sisältöön perustuva suodatin pysäyttää sen hyvin, ja tuntemattomien lähettäjien kohdennettu viivästys karsii osan automaattisista lähetyksistä.
Erotettava asia: harmaa posti. Uutiskirje, jonka joku on tilannut, tai tunnetun toimittajan kampanja eivät ole roskapostia. Niiden luokittelu erikseen estää postilaatikon tukkeutumisen pysäyttämättä odotettua viestiä.
Tietojenkalastelu: uskottavuus
Ranskan kansallinen kyberrikosten uhrien tukipalvelu cybermalveillance.gouv.fr kuvaa tietojenkalastelun vääräksi viestiksi, joka esiintyy luotettuna tahona (pankki, viranomainen, toimittaja, sosiaalinen media) varastaakseen tunnuksia, salasanoja tai pankkitietoja. Yrityksissä yleiset muodot:
- väärä kirjautumissivu sähköpostiin tai tiedostonjakoon;
- jäljitelty tunnettu tuotemerkki: kuljetusyhtiö, pankki, ohjelmistotoimittaja;
- kuvaan upotettu QR-koodi, joka siirtää linkin tietokoneelta puhelimeen;
- viesti, joka kehottaa soittamaan väärään tukinumeroon.
Verkkotunnuksen todennus ei tässä riitä. Huijari, joka ostaa teidän verkkotunnustanne muistuttavan verkkotunnuksen, voi määrittää SPF:n, DKIM:n ja DMARC:n moitteettomasti juuri sille: hänen viestinsä on aito… verkkotunnukselle, joka ei ole teidän. Hänet paljastaa samankaltaisuus tunnetun tuotemerkin tai verkkotunnuksen kanssa, verkkotunnuksen ikä, linkkien maine ja sisältö.
Kun tietojenkalastelu kohdistuu tiettyyn henkilöön tilisiirron saamiseksi, siitä tulee toimitusjohtajahuijaus: katso lähettäjän väärentäminen ja toimitusjohtajahuijaus. Mitä SPF, DKIM ja DMARC todella pysäyttävät, kuvataan oppaassa SPF, DKIM ja DMARC.
Haittaohjelma: liite tai linkki
Haittaohjelma saapuu liitteessä tai linkin takana: Office-asiakirja, joka pyytää ottamaan makrot käyttöön, haitallinen PDF, kirjautumissivua jäljittelevä HTML-tiedosto, arkisto tai QR-koodin sisältävä kuva. Itse viesti voi olla arkinen (”laskunne”, ”jaettu asiakirja”).
Vastaus kohdistuu tiedostoon ja linkkiin: virustorjunta, makrojen ja PDF-tiedostojen tarkastus, QR-koodien luku, osoitteiden maine ja tarkistus klikkaushetkellä. Opas sähköpostitse saapuvat liitteet, linkit ja kiristyshaittaohjelmat kuvaa, mitä tutkitaan ja mikä jää ihmisen tehtäväksi.
Murrettu tili: aito postilaatikko
Tässä viesti lähtee aidosta postilaatikosta: toimittajan, asiakkaan tai kollegan, jonka salasana on varastettu. SPF menee läpi, DKIM-allekirjoitus on kelvollinen, lähettäjä on tuttu. Suodatin, joka kysyy vain ”onko lähettäjä tuntematon tai huonosti todennettu?”, ei näe mitään.
Merkit ovat käyttäytymisessä:
- tavallinen yhteyshenkilö kirjoittaa yhtäkkiä epätavallisille vastaanottajille tai suurelle joukolle;
- sävy, kieli tai kellonaika, joka ei ole hänelle tyypillinen;
- uusi pyyntö: pankkitietojen muutos, odottamaton jakolinkki, ”kiireesti allekirjoitettava” asiakirja;
- vanhaan keskusteluketjuun lisätty vastaus, joka hyödyntää ketjun uskottavuutta.
Kaksi tilannetta on erotettava. Kun teille kirjoittaa kolmannen osapuolen tili, saapuvan postin suodatin voi havaita poikkeaman. Kun kyse on omasta tilistänne, asia kuuluu ensisijaisesti sähköpostijärjestelmällenne: salasana, kaksivaiheinen tunnistautuminen, kirjautumishälytykset ja hyökkääjän lisäämät edelleenlähetyssäännöt. Se on eri hanke kuin ulkoinen tietojenkalastelu, vaikka se alkaakin usein tietojenkalastelulla.
Neljä uhkaa, neljä vastausta
| Uhka | Mikä sen paljastaa | Pääasiallinen vastaus | Mikä ei riitä |
|---|
| Roskaposti | Määrä, maine, äskettäin luotu verkkotunnus | Maine ja sisältö, kohdennettu viivästys | Käsin poistaminen |
| Tietojenkalastelu | Jäljitelty tuotemerkki tai verkkotunnus, epäilyttävä linkki | Väärentämisen tunnistus, linkkien ja QR-koodien analyysi | Pelkät SPF, DKIM ja DMARC |
| Haittaohjelma | Liite tai linkki | Tiedostojen analyysi, suojaus klikkaushetkellä | Maineeseen perustuva roskapostisuodatin |
| Murrettu tili | Tutun lähettäjän tapojen muutos | Poikkeaman tunnistus ja sitten tilin suojaus | Lähettäjien estolista |
Esimerkki havainnollistukseksi. Samana maanantaina pk-yritys saa aallon tulostinmainoksia, väärän toimitusilmoituksen QR-koodilla, HTML-muotoisen ”laskun” ja viestin vakioasiakkaan kirjanpitäjältä, joka ilmoittaa uudesta tilinumerosta. Kolme ensimmäistä kuuluvat suodattimelle. Neljäs tulee aidosta postilaatikosta: suodatin voi ilmoittaa poikkeamasta, mutta asian ratkaisee soitto asiakkaan jo tunnettuun numeroon.
Miten moderni suodatus toimii
Nykyaikainen suodatin ei tee päätöstä yhden kriteerin perusteella. Se laskee pisteet useista signaaleista:
- lähettäjän aitous: SPF, DKIM, DMARC, palvelimen ja verkkotunnuksen maine, verkkotunnuksen ikä;
- viesti: linkit, teksti, tunnetut huijauskuviot, samankaltaisuus tuotemerkin tai sisäisen nimen kanssa;
- liitteet: virustorjunta, makrot, PDF-tiedostot, kuvat;
- konteksti: sama viesti monelle vastaanottajalle (kampanja) tai tavallinen lähettäjä, jonka käyttäytyminen muuttuu.
Pisteet johtavat porrastettuun päätökseen: toimitus, karanteeni, hylkäys tai tuntemattoman lähettäjän viivästys. Karanteeni on yhtä tärkeä kuin hylkäys: virheellisesti sivuun siirretty aito viesti on voitava löytää ja vapauttaa, katso Karanteeni, väärät positiiviset ja ilmoitukset.
Käyttäjien ilmoitukset, ”tämä on roskapostia” tai ”tämä on aito”, säätävät sen jälkeen lähettäjien mainetta. Virheistään oppiva suodatin tuottaa vähemmän vääriä positiivisia.
Usein kysyttyä
Miksi roskapostia tulee yhä, vaikka suodatin on hyvä?
Koska suodatin tasapainoilee liiallisen estämisen ja läpipäästämisen välillä. Asetus, joka ei päästä mitään läpi, siirtää sivuun myös odotettuja viestejä.
Onko DMARC-tarkistuksen läpäissyt viesti turvallinen?
Ei. Se osoittaa, että näytetty verkkotunnus on valtuuttanut lähetyksen, ei sitä, että sisältö on rehellinen. Katso SPF, DKIM ja DMARC.
Mitä tehdä jo saapuneelle epäilyttävälle viestille?
Älkää klikatko, älkää vastatko, ja ilmoittakaa siitä pääkäyttäjälle sen sijaan, että poistaisitte sen. Cybermalveillance.gouv.fr suosittaa myös epäselvissä tapauksissa ottamaan yhteyttä organisaatioon tunnettua kanavaa pitkin.
Kollegan tili lähettää outoja viestejä: mitä tehdä?
Ilmoittakaa sähköpostin pääkäyttäjälle, joka vaihtaa salasanan ja tarkistaa kaksivaiheisen tunnistautumisen ja edelleenlähetyssäännöt. Se ei ole suodattimen asetus.
Klyticin asema
Klytic MTA analysoi jokaisen viestin kerroksittain ennen postilaatikkoa, minkä tahansa sähköpostin edessä.
- Aitous (Essential ja Advanced): SPF, DKIM, DMARC myös edelleenlähetetyille viesteille, palvelinten ja verkkotunnusten maine, verkkotunnusten ikä, tuntemattomien lähettäjien kohdennettu viivästys.
- Viesti (Essential ja Advanced): tietojenkalastelun torjunta, tuotemerkin väärentäminen, samannäköiset verkkotunnukset ja näyttönimi, QR-koodit, kampanjoiden ja lähettäjän epätavallisen käyttäytymisen tunnistus, uutiskirjeiden lajittelu.
- Liitteet (Essential ja Advanced): virustorjunta, Office-makrot, PDF; vaaralliset liitteet poistetaan ja korvataan tiedotteella. Advanced lisää haitalliset HTML-tiedostot ja kuviin piilotetun tekstin.
- Klikkaushetkellä (Advanced): linkit analysoidaan uudelleen, kun käyttäjä klikkaa.
- Taloudelliset huijaukset (Advanced): toimitusjohtajahuijaus, väärät laskut, väärät tilisiirrot ja muut kuviot.
Käyttäjien ilmoitukset syöttävät instanssien välistä yhteistä oppimista, ja tekoälymalli ratkaisee viestit, joiden pisteet ovat epäselvät, molemmissa paketeissa. Mitä malli saa, selitetään oppaassa Tekoäly sähköpostin suodatuksessa.
Raja: Klytic MTA näkee sen läpi kulkevan postin. Omien tilienne tietoturva (salasanat, kaksivaiheinen tunnistautuminen, kirjautumiset) kuuluu edelleen sähköpostijärjestelmällenne.
Lähteet
Tarkistettu lokakuussa 2026.
- Cybermalveillance.gouv.fr, ”Que faire en cas de phishing ou hameçonnage ?”: tietojenkalastelun määritelmä, luotetuksi tahoksi tekeytyminen, tunnusten ja pankkitietojen varastaminen, tarkistusneuvot. cybermalveillance.gouv.fr
- RFC 7489, DMARC: mekanismi ei käsittele visuaalisesti samankaltaisia verkkotunnuksia, näyttönimen väärinkäyttöä eikä sisällön analyysia. rfc-editor.org
- Klytic, Klytic MTA -sivu: Essential- ja Advanced-pakettien analyysikerrokset ja moduulit, lisäpalvelut, käyttöönottotavat, käyttöönotto MX-tietueen kautta. klytic.com
