Spam: het volume
Spam is ongevraagde e-mail die massaal wordt verstuurd. Hij is hinderlijk en kost tijd, maar zoekt zelden een welbepaald slachtoffer.
Wat hem verraadt: de reputatie van de server of het domein dat hem verstuurt, een domein dat enkele dagen geleden is aangemaakt, reclame-inhoud die identiek bij duizenden ontvangers terechtkomt. Een filter op reputatie en inhoud houdt hem goed tegen, en gerichte uitstelling van onbekende afzenders weert een deel van de geautomatiseerde zendingen.
Niet te verwarren met grijze e-mail. Een nieuwsbrief waarop iemand zich heeft ingeschreven, een promotie van een bekende leverancier: dat is geen spam. Door ze apart te klasseren raakt de mailbox niet overspoeld, zonder dat een verwacht bericht wordt geblokkeerd.
Phishing: de geloofwaardigheid
Het Franse nationale hulpplatform voor slachtoffers, cybermalveillance.gouv.fr, beschrijft phishing als een vals bericht dat zich voordoet als een vertrouwde partij (bank, overheid, leverancier, sociaal netwerk) om inloggegevens, wachtwoorden of bankgegevens te stelen. Gangbare vormen in bedrijven:
- een valse inlogpagina voor de e-mail of voor het delen van bestanden;
- een nagebootst bekend merk: vervoerder, bank, softwareleverancier;
- een QR-code in een afbeelding, waardoor de link van de computer naar de telefoon verhuist;
- een bericht dat vraagt een vals supportnummer terug te bellen.
De authenticatie van het domein volstaat hier niet. Een oplichter die een domein koopt dat op het uwe lijkt, kan SPF, DKIM en DMARC voor dat domein perfect instellen: zijn bericht is authentiek… voor een domein dat niet het uwe is. Wat hem verraadt, is de gelijkenis met een bekend merk of domein, de ouderdom van het domein, de reputatie van de links, de inhoud.
Wanneer phishing een welbepaalde persoon viseert om een overschrijving te verkrijgen, wordt het CEO-fraude: zie identiteitsfraude en CEO-fraude. Wat SPF, DKIM en DMARC werkelijk tegenhouden, wordt uitgelegd in SPF, DKIM en DMARC.
Malware: de bijlage of de link
Het kwaadaardige programma komt binnen via een bijlage of achter een link: een Office-document dat vraagt om macro’s in te schakelen, een besmette pdf, een HTML-bestand dat een inlogpagina nabootst, een archief, een afbeelding met een QR-code. Het bericht zelf kan heel gewoon zijn (‘uw factuur’, ‘gedeeld document’).
Het antwoord richt zich op het bestand en op de link: antivirus, inspectie van macro’s en pdf’s, uitlezen van QR-codes, reputatie van adressen, en daarna controle op het moment van klikken. De gids bijlagen, links en ransomware legt uit wat wordt onderzocht en wat een menselijke handeling blijft.
Gecompromitteerd account: de echte mailbox
Hier vertrekt het bericht vanuit een echte mailbox, die van een leverancier, een klant of een collega van wie het wachtwoord is gestolen. SPF slaagt, de DKIM-handtekening is geldig, de afzender is bekend. Een filter die alleen kijkt naar ‘is de afzender onbekend of slecht geauthenticeerd?’ ziet niets.
De signalen zitten in het gedrag:
- een vaste correspondent die plots naar ongebruikelijke ontvangers schrijft, of naar een groot aantal;
- een toon, een taal of een tijdstip die niet bij hem passen;
- een nieuw verzoek: gewijzigde bankgegevens, een onverwachte deellink, een document ‘dringend te ondertekenen’;
- een antwoord dat in een oude conversatie wordt ingevoegd, om van de geloofwaardigheid ervan te profiteren.
Twee situaties moet u uit elkaar houden. Wanneer het account van een derde u schrijft, kan de inkomende filter de afwijking opmerken. Wanneer het om uw eigen account gaat, is het in de eerste plaats een zaak van uw e-mailsysteem: wachtwoord, tweestapsverificatie, inlogwaarschuwingen, doorstuurregels die de aanvaller heeft toegevoegd. Dat is een ander project dan externe phishing, ook al begint het vaak met phishing.
Vier dreigingen, vier antwoorden
| Dreiging | Wat ze verraadt | Belangrijkste antwoord | Wat niet volstaat |
|---|
| Spam | Volume, reputatie, recent domein | Reputatie en inhoud, gerichte uitstelling | Handmatig verwijderen |
| Phishing | Nagebootst merk of domein, verdachte link | Detectie van imitatie, analyse van links en QR-codes | Alleen SPF, DKIM en DMARC |
| Malware | Bijlage of link | Analyse van bestanden, bescherming bij het klikken | Antispam op basis van reputatie |
| Gecompromitteerd account | Gewijzigde gewoonten van een bekende afzender | Detectie van afwijkingen, daarna beveiliging van het account | Een zwarte lijst van afzenders |
Een voorbeeld, ter illustratie. Op dezelfde maandag ontvangt een kmo een golf reclame voor printers, een vals leveringsbericht met een QR-code, een ‘factuur’ in HTML-formaat, en een bericht van de boekhouder van een vaste klant die een nieuw bankrekeningnummer aankondigt. De eerste drie zijn een zaak voor de filter. Het vierde komt uit een echte mailbox: de filter kan de afwijking melden, maar een telefoontje naar het al bekende nummer van de klant beslist.
Hoe moderne filtering werkt
Een recente filter neemt zijn beslissing niet op basis van één criterium. Hij berekent een score uit meerdere signalen:
- de echtheid van de afzender: SPF, DKIM, DMARC, reputatie van de server en het domein, ouderdom van het domein;
- het bericht: links, tekst, bekende oplichtingsscenario’s, gelijkenis met een merk of een interne naam;
- de bijlagen: antivirus, macro’s, pdf’s, afbeeldingen;
- de context: hetzelfde bericht naar veel ontvangers (een campagne), of een vaste afzender die zijn gedrag verandert.
De score leidt tot een getrapte beslissing: afleveren, in quarantaine plaatsen, weigeren, of een onbekende afzender uitstellen. De quarantaine is even belangrijk als de weigering: een legitiem bericht dat per vergissing opzij is gezet, moet teruggevonden en vrijgegeven kunnen worden, zie Quarantaine, valspositieven en meldingen.
De meldingen van gebruikers, ‘dit is spam’ of ‘dit is legitiem’, stellen vervolgens de reputatie van afzenders bij. Een filter die van zijn fouten leert, geeft minder valspositieven.
Veelgestelde vragen
Waarom krijgt u met een goede filter nog spam?
Omdat een filter een afweging maakt tussen te veel blokkeren en te veel doorlaten. Een instelling die niets doorlaat, zet ook verwachte berichten opzij.
Is een bericht dat DMARC doorstaat veilig?
Nee. Het bewijst dat het getoonde domein de verzending heeft toegestaan, niet dat de inhoud eerlijk is. Zie SPF, DKIM en DMARC.
Wat doet u met een verdacht bericht dat al is binnengekomen?
Niet klikken, niet antwoorden, het aan de beheerder melden in plaats van het te verwijderen. Cybermalveillance.gouv.fr raadt bij twijfel ook aan om de organisatie te contacteren via een kanaal dat u kent.
Het account van een collega verstuurt vreemde berichten: wat doet u?
Verwittig de beheerder van het e-mailsysteem, die het wachtwoord wijzigt en de tweestapsverificatie en de doorstuurregels controleert. Dat is geen instelling van de filter.
Waar Klytic staat
Klytic MTA analyseert elk bericht in lagen, vóór de mailbox, vóór elk e-mailsysteem.
- Echtheid (Essential en Advanced): SPF, DKIM, DMARC ook voor doorgestuurde berichten, reputatie van servers en domeinen, ouderdom van domeinen, gerichte uitstelling van onbekende afzenders.
- Bericht (Essential en Advanced): antiphishing, merkimitatie, lookalike-domeinen en weergavenaam, QR-codes, detectie van campagnes en van ongebruikelijk gedrag van een afzender, sortering van nieuwsbrieven.
- Bijlagen (Essential en Advanced): antivirus, Office-macro’s, pdf’s; gevaarlijke bijlagen verwijderd met een informatiebericht. Advanced voegt besmette HTML-bestanden en verborgen tekst in afbeeldingen toe.
- Op het moment van klikken (Advanced): links worden opnieuw geanalyseerd wanneer de gebruiker klikt.
- Financiële fraude (Advanced): CEO-fraude, valse facturen, valse overschrijvingen en andere scenario’s.
De meldingen van gebruikers voeden een gedeeld leerproces over alle instanties heen, en berichten met een twijfelachtige score worden in beide formules beoordeeld door een AI-model. Wat dat model ontvangt, wordt uitgelegd in AI in e-mailfiltering.
Beperking: Klytic MTA ziet de e-mail die erdoorheen gaat. De beveiliging van uw eigen accounts (wachtwoorden, tweestapsverificatie, aanmeldingen) blijft een zaak van uw e-mailsysteem.
Bronnen
Geraadpleegd in oktober 2026.
- Cybermalveillance.gouv.fr, “Que faire en cas de phishing ou hameçonnage ?” (Wat te doen bij phishing?): definitie van phishing, imitatie van een vertrouwde partij, diefstal van inloggegevens en bankgegevens, controleadvies. cybermalveillance.gouv.fr
- RFC 7489, DMARC: het mechanisme behandelt geen visueel gelijkende domeinen, geen misbruik van de weergavenaam en geen inhoudsanalyse. rfc-editor.org
- Klytic, pagina Klytic MTA: analyselagen en modules van de formules Essential en Advanced, opties, inzetmodi, ingebruikname via het MX-record. klytic.com
