Wat in een bijlage wordt onderzocht
- Antivirus: vergelijking met bekende kwaadaardige programma’s. Doeltreffend tegen wat al circuleert, minder tegen een bestand dat voor één enkele campagne is gemaakt.
- Office-macro’s: een Word- of Excel-document dat code bevat en vraagt om ‘de inhoud in te schakelen’ om die uit te voeren. Een oud schema, dat nog steeds wordt gebruikt.
- Pdf: scripts, verborgen links, formulieren die naar een valse inlogpagina leiden.
- HTML-bestanden: een bijlage die in de browser opent en een inlogpagina nabootst, zonder via een website te gaan die je zou kunnen blokkeren.
- Afbeeldingen: een QR-code die een link bevat, of tekst die in de afbeelding is verborgen om aan de tekstanalyse te ontsnappen.
Wanneer een bijlage gevaarlijk wordt bevonden, zijn er twee redelijke uitkomsten: de bijlage verwijderen en het bericht afleveren met een vermelding die dat uitlegt, of het hele bericht in quarantaine plaatsen. In beide gevallen komt het bestand niet op de werkplek terecht.
Links: bij de aflevering, en daarna bij het klikken
Een link wordt in het bericht geanalyseerd: reputatie van het adres en het domein, gelijkenis met een bekend merk, recent aangemaakt domein. De QR-code vormt een bijzonder probleem: ze verplaatst de link van de beschermde computer naar de persoonlijke telefoon, die vaak minder beschermd is. Door de code in de afbeelding uit te lezen, komt die link opnieuw onder controle.
Maar een link die om 9 uur veilig is, kan om 14 uur besmet zijn. Oplichters sturen eerst een link naar een onschuldige pagina en veranderen die pagina zodra het bericht is afgeleverd. Daarom bestaat de bescherming bij het klikken: de link wordt herschreven zodat hij via een controle loopt op het moment dat de gebruiker klikt. Is de pagina intussen gevaarlijk geworden, dan wordt de klik tegengehouden, ook al is het bericht afgeleverd.
Het geval van deellinks
Steeds meer kwaadaardige berichten bevatten geen enkele bijlage: ze verwijzen naar een document dat op een bekende dienst voor het delen van bestanden staat. Het domein van de link heeft dan een uitstekende reputatie, want het is dat van een grote dienst. De analyse moet zich op de rest richten: is de afzender een vaste correspondent, lijkt het bericht op een campagne, vraagt de geopende pagina om een wachtwoord? Daar tellen de controle bij het klikken en de detectie van ongebruikelijk gedrag meer dan de lijst van gevaarlijke domeinen.
Ransomware: wat de gateway kan doen, en wat niet
Cybermalveillance.gouv.fr, het Franse nationale hulpplatform voor slachtoffers, beschrijft ransomware als een aanval die de toegang tot een systeem blokkeert of de gegevens versleutelt, en soms dreigt ze openbaar te maken, in ruil voor losgeld. Het platform merkt op dat de inbraak doorgaans verloopt via een kwetsbaarheid of een slecht beveiligde toegang op afstand, of via de compromittering van een account of een machine door phishing of een kwaadaardig programma.
E-mail is niet de enige toegangsweg, maar het ANSSI noemt hem “de belangrijkste infectievector van de werkplek” (vertaling). Dezelfde instantie vermeldt “het versturen van kwaadaardige bijlagen om de kwetsbaarheden van een werkplek uit te buiten met het oog op afpersing of spionage” (vertaling). Het is ook een toegangsweg die u kunt filteren voordat hij de mailbox bereikt. Het typische verloop via e-mail:
- een bericht met een bijlage of een link;
- een ingeschakelde macro, of een wachtwoord dat op een valse pagina wordt ingevoerd;
- toegang tot het netwerk of tot de accounts;
- later, soms weken later, de versleuteling van de bestanden.
Een voorbeeld, ter illustratie. Een medewerker ontvangt een ‘onbetaalde factuur’ in Word-formaat. Het document toont een wazige balk en vraagt om de inhoud in te schakelen om het te kunnen lezen. Doet hij dat, dan downloadt de macro een programma dat toegang geeft tot de werkplek. De bestanden op de server worden pas later versleuteld. Wordt de bijlage bij aankomst verwijderd, dan begint deze keten niet; komt ze erdoor, dan hangt alles af van de reflex om de macro niet in te schakelen, en daarna van de back-up.
De gateway grijpt in bij de eerste stap. Hij ziet geen inbraak via een toegang op afstand, en ook geen account dat al is geopend met een elders gestolen wachtwoord. Hij herstelt niets.
Cybermalveillance.gouv.fr raadt regelmatige back-ups aan, losgekoppelde kopieën, geteste herstelprocedures en updates die zonder uitstel worden toegepast. Het raadt ook aan het losgeld niet te betalen. Voor uw bestanden wordt de vraag behandeld in ransomware: een documentbeheersysteem (DMS) beschermen en herstellen.
Wat een menselijke handeling blijft
- De macro’s van een per e-mail ontvangen document niet inschakelen, ook al vraagt het dat beleefd.
- Geen wachtwoord invoeren op een pagina die via een ontvangen link is geopend; ga via het gebruikelijke adres of een bladwijzer. Cybermalveillance.gouv.fr raadt ook aan het adres van de website te controleren, waar één enkel teken kan verschillen.
- Geen QR-code scannen die per e-mail is ontvangen om ‘in te loggen’.
- Een verdacht bericht melden in plaats van het te verwijderen: de melding helpt de filter en waarschuwt de collega’s.
- Geen bericht uit quarantaine vrijgeven dat u niet verwachtte, alleen om te kijken.
De grenzen van elke analyse
- Het bestand dat de afzender heeft versleuteld: een archief dat is beveiligd met een wachtwoord dat in het bericht staat, is onleesbaar voor de filter. Het is een bekende ontwijkingstechniek; ze wordt aangepakt met een regel (quarantaine, waarschuwing) in plaats van met inhoudsanalyse.
- Het nieuwe kwaadaardige document, zonder bekende signatuur, kan door de antivirus glippen. De andere signalen (afzender, context, macro’s) nemen dan het over, zonder garantie.
- Het gecompromitteerde legitieme account dat een echte, besmette factuur verstuurt, geniet het vertrouwen in de afzender.
- De link die achteraf besmet raakt, komt erdoor als niemand opnieuw controleert op het moment van klikken.
- Het interne bericht dat tussen twee mailboxen van hetzelfde e-mailsysteem wordt uitgewisseld zonder dat systeem te verlaten, gaat niet langs een gateway die ervoor staat: de filter van het e-mailsysteem ziet het, of niemand.
De quarantaine bestaat voor twijfelgevallen: het bericht is niet afgeleverd en ook niet verloren. Zie Quarantaine, valspositieven en meldingen.
Veelgestelde vragen
Is een verwijderde bijlage verloren?
Het bericht komt aan met een vermelding die de verwijdering uitlegt. Was de bijlage legitiem, dan gaat de beheerder of de ontvanger via de quarantaine: zie Quarantaine, valspositieven en meldingen.
Kan een pdf echt gevaarlijk zijn?
Ja: hij kan scripts bevatten of naar een valse inlogpagina leiden. Daarom wordt hij net als een Office-document geïnspecteerd.
Waarom wordt een link die gisteren werd gecontroleerd, vandaag geblokkeerd?
De pagina is sinds de aflevering veranderd. De bescherming bij het klikken beoordeelt de pagina op het moment dat u ze opent.
Volstaat een gateway tegen ransomware?
Nee. Hij beperkt de toegang via e-mail. Updates, toegang op afstand en de back-up doen de rest. Zie ransomware: een documentbeheersysteem (DMS) beschermen en herstellen.
Waar Klytic staat
De verdeling van Klytic MTA over zijn twee formules, zoals ze is gepubliceerd:
| Analyse | Essential | Advanced |
|---|
| Antivirus en versleutelde quarantaine | Ja | Ja |
| Besmette Office-macro’s en pdf’s | Ja | Ja |
| Antiphishing, merkimitatie, QR-codes | Ja | Ja |
| Gevaarlijke bijlagen verwijderd, met een informatiebericht | Ja | Ja |
| Veilige vrijgave uit quarantaine en meldingen | Ja | Ja |
| Besmette HTML-bestanden en verborgen tekst in afbeeldingen | Nee | Ja |
| Links opnieuw geanalyseerd op het moment van klikken | Nee | Ja |
Klytic MTA werkt vóór elk e-mailsysteem, zonder Klytic Mail. Het vervangt de back-up van uw bestanden en mailboxen niet: bij Klytic zijn dat de back-ups van de diensten zelf, beschreven op de pagina beveiliging en back-up.
Bronnen
Geraadpleegd in oktober 2026.
- Cybermalveillance.gouv.fr, “Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?” (Ransomware: wat te doen als uw organisatie het slachtoffer is van een aanval?): definitie, inbraakwijzen (kwetsbaarheden, toegang op afstand, phishing, kwaadaardig programma), losgekoppelde en geteste back-ups, updates, niet betalen. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, “Que faire en cas de phishing ou hameçonnage ?” (Wat te doen bij phishing?): het adres van een link en van de website controleren voordat u gegevens invoert. cybermalveillance.gouv.fr
- Klytic, pagina Klytic MTA: analyse van bijlagen en links in de formules Essential en Advanced, opties, inzetmodi, ingebruikname via het MX-record. klytic.com
- ANSSI, “Guide d’hygiène informatique” (Gids voor IT-hygiëne), versie 2.0, september 2017, maatregel 24 “Protéger sa messagerie professionnelle” (Zijn zakelijke e-mail beschermen): “E-mail is de belangrijkste infectievector van de werkplek” (vertaling). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, maatregelenkader, maatregel “Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage” (Een antispam- en antiphishingoplossing inzetten): “E-mailsystemen zijn een van de belangrijkste aanvalsvectoren, omdat ze zeer breed worden gebruikt en op internet zijn blootgesteld” (vertaling). monservicesecurise.cyber.gouv.fr
- ANSSI, “Recommandations relatives à l’interconnexion d’un système d’information à Internet” (Aanbevelingen voor de koppeling van een informatiesysteem aan internet), ANSSI-PA-066, versie 3.0, 19 juni 2020, hoofdstuk 5 “Sécurisation du service de messagerie électronique” (Beveiliging van de e-maildienst): e-mail “is een van de belangrijkste vectoren van computeraanvallen geworden” (vertaling) (phishing, kwaadaardige bijlagen); § 5.2.3, mechanismen voor antispam en voor het opsporen van kwaadaardige inhoud “moeten worden ingezet”. messervices.cyber.gouv.fr
