Surogātpasts: apjoms
Surogātpasts ir neprasīts pasts, kas tiek sūtīts masveidā. Tas ir kaitinot un patērē laiku, bet reti meklē konkrētu upuri.
Kas to nodod: sūtošā servera vai domēna reputācija, pirms dažām dienām izveidots domēns, reklāmas saturs, kas tūkstošiem saņēmēju atkārtojas identisks. Reputācijas un satura filtrs to labi aptur, un nezināmu sūtītāju mērķtiecīga aizture atsijā daļu automātisko sūtījumu.
Jānodala: pelēkais pasts. Jaunumu vēstule, kurai kāds ir pierakstījies, vai zināma piegādātāja akcija nav surogātpasts. To klasificēšana atsevišķi ļauj nepārpildīt pastkasti, nebloķējot gaidītu vēstuli.
Pikšķerēšana: ticamība
Francijas valsts palīdzības sistēma upuriem cybermalveillance.gouv.fr pikšķerēšanu apraksta kā viltotu vēstuli, kas uzdodas par uzticamu trešo pusi (banku, valsts iestādi, piegādātāju, sociālo tīklu), lai nozagtu pieteikšanās datus, paroles vai bankas datus. Biežākās formas uzņēmumos:
- viltota pieteikšanās lapa e-pastam vai failu kopīgošanai;
- atdarināts zināms zīmols: pārvadātājs, banka, programmatūras izstrādātājs;
- QR kods attēlā, kas pārceļ saiti no datora uz tālruni;
- vēstule, kas aicina piezvanīt uz viltotu atbalsta numuru.
Domēna autentifikācija šeit nepietiek. Krāpnieks, kas nopērk jūsējam līdzīgu domēnu, var nevainojami iestatīt SPF, DKIM un DMARC šim domēnam: viņa vēstule ir autentiska… domēnam, kas nav jūsējais. Viņu nodod līdzība ar zināmu zīmolu vai domēnu, domēna vecums, saišu reputācija, saturs.
Kad pikšķerēšana mērķē uz konkrētu personu, lai panāktu pārskaitījumu, tā kļūst par vadītāja vārdā veiktu krāpšanu: skatiet Uzdošanās par citu personu un vadītāja vārdā veikta krāpšana. Ko SPF, DKIM un DMARC patiesībā aptur, ir sīki aprakstīts rakstā SPF, DKIM un DMARC.
Ļaunprogrammatūra: pielikums vai saite
Ļaunprogrammatūra pienāk pielikumā vai aiz saites: Office dokuments, kas lūdz ieslēgt makrokomandas, inficēts PDF, HTML fails, kas atdarina pieteikšanās lapu, arhīvs, attēls ar QR kodu. Pati vēstule var būt ikdienišķa („jūsu rēķins”, „kopīgots dokuments”).
Atbilde attiecas uz failu un saiti: pretvīrusu programma, makrokomandu un PDF pārbaude, QR kodu nolasīšana, adrešu reputācija un pēc tam pārbaude klikšķa brīdī. Rokasgrāmata Pielikumi, saites un izspiedējvīrusi e-pastā sīki apraksta, kas tiek pārbaudīts un kas paliek cilvēka ziņā.
Kompromitēts konts: īstā pastkaste
Šeit vēstule tiek nosūtīta no īstas pastkastes – piegādātāja, klienta vai kolēģa, kura parole ir nozagta. SPF pārbaude izdodas, DKIM paraksts ir derīgs, sūtītājs ir zināms. Filtrs, kas skatās tikai uz to, „vai sūtītājs ir nezināms vai slikti autentificēts”, neko neredz.
Pazīmes ir uzvedībā:
- ierasts sarakstes partneris pēkšņi raksta neierastiem saņēmējiem vai lielā skaitā;
- tonis, valoda vai laiks, kas viņam nav raksturīgi;
- jauns lūgums: bankas konta rekvizītu maiņa, negaidīta kopīgošanas saite, dokuments, kas „steidzami jāparaksta”;
- atbilde, kas ievietota vecā sarakstes pavedienā, lai izmantotu tā ticamību.
Jānodala divas situācijas. Ja jums raksta trešās personas konts, ienākošā pasta filtrs var pamanīt anomāliju. Ja tas ir jūsu pašu konts, tā vispirms ir jūsu e-pasta sistēmas problēma: parole, divfaktoru autentifikācija, pieteikšanās brīdinājumi, uzbrucēja pievienoti pāradresācijas noteikumi. Tas nav tas pats projekts kā ārējā pikšķerēšana, pat ja tas bieži sākas ar pikšķerēšanu.
Četri apdraudējumi, četras atbildes
| Apdraudējums | Kas to nodod | Galvenā atbilde | Ar ko nepietiek |
|---|
| Surogātpasts | Apjoms, reputācija, nesen izveidots domēns | Reputācija un saturs, mērķtiecīga aizture | Dzēšana ar roku |
| Pikšķerēšana | Atdarināts zīmols vai domēns, aizdomīga saite | Uzdošanās atklāšana, saišu un QR kodu analīze | Tikai SPF, DKIM un DMARC |
| Ļaunprogrammatūra | Pielikums vai saite | Failu analīze, aizsardzība klikšķa brīdī | Uz reputāciju balstīts surogātpasta filtrs |
| Kompromitēts konts | Zināma sūtītāja paradumu maiņa | Anomāliju atklāšana, pēc tam konta drošība | Sūtītāju melnais saraksts |
Piemērs ilustrācijai. Tajā pašā pirmdienā MVU saņem printeru reklāmu vilni, viltotu piegādes paziņojumu ar QR kodu, „rēķinu” HTML formātā un ierasta klienta grāmatveža vēstuli, kas paziņo par jaunu bankas kontu. Pirmie trīs ir filtra ziņā. Ceturtā nāk no īstas pastkastes: filtrs var ziņot par anomāliju, bet izlēm zvans uz klienta jau zināmo numuru.
Kā darbojas mūsdienu filtrēšana
Mūsdienu filtrs nepieņem lēmumu pēc viena kritērija. Tas aprēķina vērtējumu, izmantojot vairākus signālus:
- sūtītāja autentiskums: SPF, DKIM, DMARC, servera un domēna reputācija, domēna vecums;
- vēstule: saites, teksts, zināmi krāpšanas scenāriji, līdzība ar zīmolu vai iekšēju nosaukumu;
- pielikumi: pretvīrusu pārbaude, makrokomandas, PDF, attēli;
- konteksts: viena un tā pati vēstule, kas nosūtīta daudziem saņēmējiem (kampaņa), vai ierasts sūtītājs, kura uzvedība mainās.
Vērtējums noved pie pakāpeniska lēmuma: piegādāt, ievietot karantīnā, noraidīt vai atlikt nezināmu sūtītāju. Karantīna ir tikpat svarīga kā noraidīšana: kļūdas pēc atsevišķi novietotu leģitīmu vēstuli jāvar atrast un atbrīvot, skatiet Karantīna, kļūdaini pozitīvi rezultāti un ziņošana.
Lietotāju ziņojumi – „tas ir surogātpasts” vai „tas ir leģitīms” – pēc tam pielāgo sūtītāju reputāciju. Filtrs, kas mācās no savām kļūdām, rada mazāk kļūdaini pozitīvu rezultātu.
Biežāk uzdotie jautājumi
Kāpēc ar labu filtru joprojām pienāk surogātpasts?
Jo filtrs balancē starp pārāk stīngu bloķēšanu un caurlaišanu. Iestatījums, kas neko nelaiž cauri, atsevišķi novieto arī gaidītas vēstules.
Vai vēstule, kas iziet DMARC pārbaudi, ir droša?
Nē. Tā pierāda, ka redzamais domēns ir atļāvis sūtīšanu, nevis to, ka saturs ir godīgs. Skatiet SPF, DKIM un DMARC.
Ko darīt ar jau saņemtu aizdomīgu vēstuli?
Neklikšķināt, neatbildēt, ziņot administratoram, nevis dzēst. Cybermalveillance.gouv.fr arī iesaka šaubu gadījumā sazināties ar organizāciju pa zināmu kanālu.
Kolēģa konts sūta dīvainas vēstules: ko darīt?
Brīdināt e-pasta administratoru, kurš nomaina paroli, pārbauda divfaktoru autentifikāciju un pāradresācijas noteikumus. Tas nav filtra iestatījums.
Kur ir Klytic
Klytic MTA analizē katru vēstuli slāņos, pirms tā nonāk pastkastē, darbojoties pirms jebkuras e-pasta sistēmas.
- Autentiskums (Essential un Advanced): SPF, DKIM, DMARC, arī pārsūtītām vēstulēm, serveru un domēnu reputācija, domēnu vecums, nezināmu sūtītāju mērķtiecīga aizture.
- Vēstule (Essential un Advanced): pikšķerēšanas aizsardzība, zīmolu viltojumi, līdzīgi domēni un attēlojamais vārds, QR kodi, kampaņu un neierastas sūtītāja uzvedības atklāšana, jaunumu vēstuļu šķirošana.
- Pielikumi (Essential un Advanced): pretvīrusu pārbaude, Office makrokomandas, PDF; bīstami pielikumi tiek izņemti un aizstāti ar informējošu ziņojumu. Advanced pievieno inficētus HTML failus un attēlos slēptu tekstu.
- Klikšķa brīdī (Advanced): saites tiek analizētas atkārtoti, kad lietotājs uz tām noklikšķina.
- Finanšu krāpšana (Advanced): vadītāja vārdā veikta krāpšana, viltoti rēķini, viltoti pārskaitījumi un citi scenāriji.
Lietotāju ziņojumi papildina kopīgu mācīšanos starp instancēm, un par vēstulēm ar neviennozīmīgu vērtējumu abos piedāvājumos lemj MI modelis. Ko šis modelis saņem, ir izskaidrots rakstā Mākslīgais intelekts e-pasta filtrēšanā.
Ierobežojums: Klytic MTA redz pastu, kas iet caur to. Jūsu pašu kontu drošība (paroles, divfaktoru autentifikācija, pieteikšanās) paliek jūsu e-pasta sistēmas ziņā.
Avoti
Skatīti 2026. gada oktobrī.
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?”: pikšķerēšanas definīcija, uzdošanās par uzticamu trešo pusi, pieteikšanās datu un bankas datu zādzība, pārbaudes ieteikumi. cybermalveillance.gouv.fr
- RFC 7489, DMARC: mehānisms neapstrādā ne vizuāli līdzīgus domēnus, ne attēlojamā vārda ļaunprātīgu izmantošanu, ne satura analīzi. rfc-editor.org
- Klytic, lapa Klytic MTA: analīzes slāņi un piedāvājumu Essential un Advanced moduļi, papildiespējas, izvietošanas veidi, ieviešana ar MX. klytic.com
