Spam: skala
Spam to niezamawiana poczta wysyłana masowo. Jest uciążliwy i zabiera czas, ale rzadko wymierzony jest w konkretną ofiarę.
Co go zdradza: reputacja serwera lub domeny nadawcy, domena utworzona kilka dni temu, treść reklamowa powtarzana identycznie u tysięcy odbiorców. Filtr reputacji i treści dobrze go zatrzymuje, a celowe wstrzymywanie wiadomości od nieznanych nadawców eliminuje część zautomatyzowanych wysyłek.
Należy odróżnić od niego tzw. szarą pocztę. Newsletter, który ktoś zasubskrybował, czy promocja od znanego dostawcy nie są spamem. Klasyfikowanie ich osobno pozwala nie zasypywać skrzynki, nie blokując przy tym oczekiwanej wiadomości.
Phishing: wiarygodność
Francuski rządowy serwis pomocy ofiarom, cybermalveillance.gouv.fr, opisuje phishing jako fałszywą wiadomość podszywającą się pod zaufany podmiot (bank, urząd, dostawcę, portal społecznościowy) w celu wyłudzenia danych logowania, haseł lub danych bankowych. Typowe formy w firmach:
- fałszywa strona logowania do poczty lub usługi udostępniania plików;
- podrobiona znana marka: firma kurierska, bank, producent oprogramowania;
- kod QR w obrazie, który przenosi link z komputera na telefon;
- wiadomość nakłaniająca do oddzwonienia na fałszywy numer wsparcia.
Uwierzytelnianie domeny tu nie wystarcza. Oszust, który kupi domenę łudząco podobną do Państwa domeny, może bezbłędnie skonfigurować SPF, DKIM i DMARC dla tej domeny: jego wiadomość jest autentyczna… ale dla domeny, która nie jest Państwa domeną. Zdradza go podobieństwo do znanej marki lub domeny, wiek domeny, reputacja linków i treść.
Gdy phishing jest wymierzony w konkretną osobę, aby uzyskać przelew, staje się oszustwem „na prezesa”: zob. podszywanie się i oszustwo „na prezesa”. To, co faktycznie zatrzymują SPF, DKIM i DMARC, opisano w poradniku SPF, DKIM i DMARC.
Złośliwe oprogramowanie: załącznik lub link
Złośliwy program przychodzi w załączniku lub kryje się za linkiem: dokument Office żądający włączenia makr, zainfekowany PDF, plik HTML imitujący stronę logowania, archiwum, obraz z kodem QR. Sama wiadomość może być zupełnie zwyczajna („Państwa faktura”, „udostępniony dokument”).
Odpowiedź dotyczy pliku i linku: antywirus, kontrola makr i plików PDF, odczyt kodów QR, reputacja adresów, a następnie weryfikacja w momencie kliknięcia. Poradnik załączniki, linki i ransomware opisuje, co jest sprawdzane, a co pozostaje w rękach człowieka.
Przejęte konto: prawdziwa skrzynka
Tutaj wiadomość wychodzi z prawdziwej skrzynki – dostawcy, klienta lub współpracownika, któremu skradziono hasło. SPF przechodzi, podpis DKIM jest prawidłowy, nadawca jest znany. Filtr, który sprawdza tylko, „czy nadawca jest nieznany lub źle uwierzytelniony?”, niczego nie zauważy.
Oznaki tkwią w zachowaniu:
- stały korespondent nagle pisze do nietypowych odbiorców lub do wielu odbiorców naraz;
- ton, język lub pora wysyłki, które do niego nie pasują;
- nowa prośba: zmiana danych bankowych, nieoczekiwany link do udostępnienia, dokument „do pilnego podpisania”;
- odpowiedź wstawiona w starą wymianę wiadomości, by wykorzystać jej wiarygodność.
Trzeba rozróżnić dwie sytuacje. Gdy pisze do Państwa konto osoby trzeciej, filtr poczty przychodzącej może wychwycić anomalię. Gdy chodzi o Państwa własne konto, jest to przede wszystkim sprawa Państwa systemu pocztowego: hasło, uwierzytelnianie dwuskładnikowe, alerty logowania, reguły przekazywania dodane przez atakującego. To inny projekt niż ochrona przed phishingiem z zewnątrz, nawet jeśli często zaczyna się od phishingu.
Cztery zagrożenia, cztery odpowiedzi
| Zagrożenie | Co je zdradza | Główna odpowiedź | Co nie wystarcza |
|---|
| Spam | Skala, reputacja, niedawno utworzona domena | Reputacja i treść, celowe wstrzymywanie | Ręczne usuwanie |
| Phishing | Podrobiona marka lub domena, podejrzany link | Wykrywanie podszywania się, analiza linków i kodów QR | Same SPF, DKIM i DMARC |
| Złośliwe oprogramowanie | Załącznik lub link | Analiza plików, ochrona w momencie kliknięcia | Antyspam oparty na reputacji |
| Przejęte konto | Zmiana zwyczajów znanego nadawcy | Wykrywanie anomalii, a następnie zabezpieczenie konta | Czarna lista nadawców |
Przykład dla ilustracji. Tego samego poniedziałku mała firma otrzymuje falę reklam drukarek, fałszywe awizo dostawy z kodem QR, „fakturę” w formacie HTML oraz wiadomość od księgowego stałego klienta, który podaje nowy numer rachunku bankowego. Trzy pierwsze to zadanie dla filtra. Czwarta pochodzi z prawdziwej skrzynki: filtr może zasygnalizować anomalię, ale rozstrzyga telefon pod znany już numer klienta.
Jak działa nowoczesne filtrowanie
Nowoczesny filtr nie podejmuje decyzji na podstawie jednego kryterium. Oblicza wynik na podstawie kilku sygnałów:
- autentyczność nadawcy: SPF, DKIM, DMARC, reputacja serwera i domeny, wiek domeny;
- wiadomość: linki, tekst, znane scenariusze oszustw, podobieństwo do marki lub nazwy wewnętrznej;
- załączniki: antywirus, makra, pliki PDF, obrazy;
- kontekst: ta sama wiadomość wysłana do wielu odbiorców (kampania) lub stały nadawca, który zmienia zachowanie.
Wynik prowadzi do stopniowanej decyzji: dostarczyć, umieścić w kwarantannie, odrzucić lub odłożyć w czasie wiadomość od nieznanego nadawcy. Kwarantanna jest równie ważna jak odrzucenie: uprawnioną wiadomość odłożoną omyłkowo trzeba móc odnaleźć i zwolnić, zob. Kwarantanna, fałszywe alarmy i zgłoszenia.
Zgłoszenia użytkowników – „to jest spam” lub „to jest prawidłowa wiadomość” – korygują następnie reputację nadawców. Filtr, który uczy się na swoich błędach, generuje mniej fałszywych alarmów.
Najczęściej zadawane pytania
Dlaczego mimo dobrego filtra nadal dostajemy spam?
Ponieważ filtr zawsze balansuje między nadmiernym blokowaniem a przepuszczaniem. Ustawienie, które niczego nie przepuszcza, odkłada na bok także oczekiwane wiadomości.
Czy wiadomość, która przechodzi DMARC, jest bezpieczna?
Nie. Dowodzi ona tylko, że wyświetlana domena zezwoliła na wysyłkę, a nie że treść jest uczciwa. Zob. SPF, DKIM i DMARC.
Co zrobić z podejrzaną wiadomością, która już dotarła?
Nie klikać, nie odpowiadać, zgłosić ją administratorowi zamiast ją usuwać. Cybermalveillance.gouv.fr zaleca też, w razie wątpliwości, skontaktować się z danym podmiotem znanym sobie kanałem.
Konto współpracownika wysyła dziwne wiadomości: co robić?
Powiadomić administratora poczty, który zmieni hasło, sprawdzi uwierzytelnianie dwuskładnikowe i reguły przekazywania. To nie jest kwestia ustawień filtra.
Miejsce Klytic
Klytic MTA analizuje każdą wiadomość warstwowo, zanim trafi do skrzynki, przed dowolnym systemem pocztowym.
- Autentyczność (Essential i Advanced): SPF, DKIM, DMARC również dla przekazywanych wiadomości, reputacja serwerów i domen, wiek domen, celowe wstrzymywanie wiadomości od nieznanych nadawców.
- Wiadomość (Essential i Advanced): ochrona przed phishingiem, podszywanie się pod marki, domeny łudząco podobne i nazwa wyświetlana, kody QR, wykrywanie kampanii i nietypowych zachowań nadawcy, sortowanie newsletterów.
- Załączniki (Essential i Advanced): antywirus, makra Office, pliki PDF; niebezpieczne załączniki są usuwane, a w ich miejsce pojawia się komunikat informacyjny. Advanced dodaje złośliwe pliki HTML i tekst ukryty w obrazach.
- W momencie kliknięcia (Advanced): linki są ponownie analizowane, gdy użytkownik je kliknie.
- Oszustwa finansowe (Advanced): oszustwa „na prezesa”, fałszywe faktury, fałszywe przelewy i inne scenariusze.
Zgłoszenia użytkowników zasilają wspólne uczenie się wszystkich instancji, a wiadomości o niejednoznacznym wyniku rozstrzyga model AI – w obu pakietach. Co ten model otrzymuje, wyjaśniono w poradniku AI w filtrowaniu e-maili.
Ograniczenie: Klytic MTA widzi pocztę, która przez niego przechodzi. Bezpieczeństwo Państwa własnych kont (hasła, uwierzytelnianie dwuskładnikowe, logowania) pozostaje zadaniem Państwa systemu pocztowego.
Źródła
Stan na październik 2026 r.
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?” (Co zrobić w przypadku phishingu?): definicja phishingu, podszywanie się pod zaufany podmiot, kradzież danych logowania i danych bankowych, wskazówki dotyczące weryfikacji. cybermalveillance.gouv.fr
- RFC 7489, DMARC: mechanizm nie obejmuje domen wizualnie podobnych, nadużyć nazwy wyświetlanej ani analizy treści. rfc-editor.org
- Klytic, strona Klytic MTA: warstwy analizy i moduły pakietów Essential i Advanced, opcje, tryby wdrożenia, uruchomienie poprzez rekord MX. klytic.com
