Kéretlen levél: a mennyiség
A kéretlen levél (spam) nem kért, tömegesen küldött levél. Bosszantó és időt rabol, de ritkán céloz meg konkrét áldozatot.
Ami elárulja: a küldő szerver vagy domain hírneve, egy néhány napja létrehozott domain, egy több ezer címzettnél azonos formában ismétlődő reklámtartalom. Egy hírnév- és tartalomalapú szűrő jól megállítja, és az ismeretlen feladók célzott visszatartása kiszűri az automatizált küldések egy részét.
Megkülönböztetendő: a szürke levelek. Egy hírlevél, amelyre valaki feliratkozott, vagy egy ismert beszállító promóciója nem kéretlen levél. Külön rendezésük megakadályozza a postafiók elárasztását anélkül, hogy egy várt üzenetet letiltanának.
Adathalászat: a hihetőség
Az áldozatsegítő francia nemzeti szolgálat, a cybermalveillance.gouv.fr úgy írja le az adathalászatot, mint egy hamis üzenetet, amely egy megbízható harmadik félnek (bank, hatóság, beszállító, közösségi háló) adja ki magát, hogy azonosítókat, jelszavakat vagy bankadatokat szerezzen meg. A vállalatoknál gyakori formák:
- a levelezőrendszer vagy a fájlmegosztás hamis bejelentkezési oldala;
- egy ismert márka utánzása: fuvarozó, bank, szoftvergyártó;
- egy képbe ágyazott QR-kód, amely a linket a számítógépről a telefonra viszi át;
- egy üzenet, amely egy hamis ügyfélszolgálati szám visszahívására szólít fel.
A domain hitelesítése itt nem elég. Egy csaló, aki az Önéhez hasonló domaint vásárol, tökéletesen beállíthatja az SPF-et, a DKIM-et és a DMARC-ot erre a domainre: üzenete hiteles… egy olyan domainre, amely nem az Öné. Ami elárulja: a hasonlóság egy ismert márkához vagy domainhez, a domain kora, a linkek hírneve, a tartalom.
Ha az adathalászat egy konkrét személyt céloz egy átutalás megszerzése érdekében, CEO-csalássá válik: lásd Megszemélyesítés és CEO-csalás. Hogy az SPF, a DKIM és a DMARC valójában mit állít meg, azt az SPF, DKIM és DMARC útmutató részletezi.
Kártevő: a melléklet vagy a link
A rosszindulatú program egy mellékletben vagy egy link mögött érkezik: makrók engedélyezését kérő Office-dokumentum, csapdát rejtő PDF, bejelentkezési oldalt utánzó HTML-fájl, tömörített archívum, QR-kódot tartalmazó kép. Maga az üzenet lehet egyszerű („az Ön számlája”, „megosztott dokumentum”).
A válasz a fájlra és a linkre vonatkozik: víruskereső, a makrók és a PDF-ek vizsgálata, a QR-kódok kiolvasása, a címek hírneve, majd ellenőrzés a kattintás pillanatában. Az E-mailben érkező mellékletek, linkek és zsarolóvírusok útmutató részletezi, mit vizsgál a rendszer, és mi marad emberi feladat.
Kompromittált fiók: a valódi postafiók
Itt az üzenet egy valódi postafiókból indul: egy beszállítóéból, egy ügyféléből vagy egy kollégáéból, akinek a jelszavát ellopták. Az SPF rendben van, a DKIM-aláírás érvényes, a feladó ismert. Az a szűrő, amely csak azt vizsgálja, hogy „ismeretlen vagy rosszul hitelesített-e a feladó”, semmit sem lát.
A jelek a viselkedésben vannak:
- egy szokásos levelezőpartner, aki hirtelen szokatlan címzetteknek vagy nagy számú címzettnek ír;
- egy hangnem, nyelv vagy időpont, amely nem jellemző rá;
- egy új kérés: bankszámla-adatok megváltozása, váratlan megosztási link, „sürgősen aláírandó” dokumentum;
- egy régi levelezési szálba illesztett válasz, hogy annak hitelességét kihasználja.
Két helyzetet kell szétválasztani. Ha egy harmadik fél fiókja ír Önnek, a beérkező leveleket szűrő rendszer észlelheti a rendellenességet. Ha a saját fiókjáról van szó, az elsősorban a levelezőrendszere ügye: jelszó, kétfaktoros hitelesítés, bejelentkezési riasztások, a támadó által hozzáadott továbbítási szabályok. Ez nem ugyanaz a projekt, mint a külső adathalászat, még ha gyakran adathalászattal kezdődik is.
Négy fenyegetés, négy válasz
| Fenyegetés | Mi árulja el | Fő válasz | Mi nem elég |
|---|
| Kéretlen levél | Mennyiség, hírnév, új domain | Hírnév és tartalom, célzott visszatartás | Kézi törlés |
| Adathalászat | Utánzott márka vagy domain, gyanús link | A megszemélyesítés felismerése, a linkek és a QR-kódok elemzése | Az SPF, a DKIM és a DMARC önmagában |
| Kártevő | Melléklet vagy link | A fájlok elemzése, kattintáskori védelem | Egy hírnévalapú spamszűrő |
| Kompromittált fiók | Egy ismert feladó szokásainak megváltozása | A rendellenesség észlelése, majd a fiók biztonsága | A feladók feketelistája |
Példa, szemléltetésképpen. Ugyanazon a hétfőn egy kkv nyomtatóreklámok áradatát kapja, egy hamis kézbesítési értesítést QR-kóddal, egy HTML formátumú „számlát”, valamint egy üzenetet egy rendszeres ügyfél könyvelőjétől, aki új bankszámlaszámot jelent be. Az első három a szűrő feladata. A negyedik egy valódi postafiókból érkezik: a szűrő jelezheti a rendellenességet, de az ügyfél már ismert számának felhívása dönt.
Hogyan működik egy modern szűrés
Egy korszerű szűrő nem egyetlen szempont alapján dönt. Több jelzésből számít pontszámot:
- a feladó hitelessége: SPF, DKIM, DMARC, a szerver és a domain hírneve, a domain kora;
- az üzenet: linkek, szöveg, ismert csalási forgatókönyvek, hasonlóság egy márkához vagy egy belső névhez;
- a mellékletek: víruskereső, makrók, PDF-ek, képek;
- a kontextus: ugyanaz az üzenet sok címzettnek elküldve (kampány), vagy egy szokásos feladó, akinek megváltozik a viselkedése.
A pontszám fokozatos döntéshez vezet: kézbesítés, karantén, elutasítás, vagy egy ismeretlen feladó késleltetése. A karantén ugyanolyan fontos, mint az elutasítás: egy tévesen félretett jogos üzenetet vissza kell tudni keresni és fel kell tudni engedni, lásd Karantén, téves riasztások és bejelentések.
A felhasználók bejelentései, „ez kéretlen levél” vagy „ez jogos”, ezután módosítják a feladók hírnevét. Egy szűrő, amely tanul a hibáiból, kevesebb téves riasztást ad.
Gyakori kérdések
Miért kapunk még mindig kéretlen leveleket egy jó szűrővel is?
Mert egy szűrő egyensúlyoz a túlzott tiltás és az átengedés között. Egy beállítás, amely semmit sem enged át, várt üzeneteket is félretesz.
Biztonságos-e egy üzenet, amely átmegy a DMARC-ellenőrzésen?
Nem. Azt bizonyítja, hogy a megjelenített domain engedélyezte a küldést, nem azt, hogy a tartalom tisztességes. Lásd: SPF, DKIM és DMARC.
Mit tegyünk egy már megérkezett gyanús üzenettel?
Ne kattintson, ne válaszoljon, jelentse az adminisztrátornak törlés helyett. A cybermalveillance.gouv.fr azt is ajánlja, hogy kétség esetén egy ismert csatornán vegye fel a kapcsolatot a szervezettel.
Egy kolléga fiókja furcsa üzeneteket küld: mi a teendő?
Értesítse a levelezőrendszer adminisztrátorát, aki megváltoztatja a jelszót, ellenőrzi a kétfaktoros hitelesítést és a továbbítási szabályokat. Ez nem a szűrő beállítása.
Hol helyezkedik el a Klytic
A Klytic MTA minden üzenetet rétegekben elemez, a postafiók előtt, bármely levelezőrendszer előtt.
- Hitelesség (Essential és Advanced): SPF, DKIM, DMARC a továbbított üzenetekre is, a szerverek és a domainek hírneve, a domainek kora, az ismeretlen feladók célzott visszatartása.
- Üzenet (Essential és Advanced): adathalászat elleni védelem, márkahamisítás, hasonmás domainek és megjelenített név, QR-kódok, a kampányok és egy feladó szokatlan viselkedésének felismerése, a hírlevelek külön rendezése.
- Mellékletek (Essential és Advanced): víruskereső, Office-makrók, PDF-ek; a veszélyes mellékleteket egy tájékoztató üzenettel helyettesítve eltávolítja. Az Advanced csomag ehhez hozzáadja a csapdát rejtő HTML-fájlokat és a képekben elrejtett szöveget.
- A kattintás pillanatában (Advanced): a linkeket a rendszer újraelemzi, amikor a felhasználó rájuk kattint.
- Pénzügyi csalás (Advanced): CEO-csalás, hamis számlák, hamis átutalások és más forgatókönyvek.
A felhasználók bejelentései a példányok közötti közös tanulást táplálják, a kétes pontszámú üzenetekről pedig egy MI-modell dönt, mindkét csomagban. Hogy ez a modell mit kap, azt A mesterséges intelligencia az e-mail-szűrésben útmutató magyarázza el.
Korlát: a Klytic MTA az áthaladó leveleket látja. Saját fiókjainak biztonsága (jelszavak, kétfaktoros hitelesítés, bejelentkezések) a levelezőrendszere feladata marad.
Források
Megtekintve 2026 októberében.
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?”: az adathalászat meghatározása, egy megbízható harmadik fél megszemélyesítése, azonosítók és bankadatok ellopása, ellenőrzési tanácsok. cybermalveillance.gouv.fr
- RFC 7489, DMARC: a mechanizmus nem foglalkozik sem a vizuálisan hasonló domainekkel, sem a megjelenített névvel való visszaéléssel, sem a tartalom elemzésével. rfc-editor.org
- Klytic, Klytic MTA oldal: az elemzési rétegek és az Essential és Advanced csomag moduljai, opciók, telepítési módok, üzembe helyezés az MX-en keresztül. klytic.com
