Co jest sprawdzane w załączniku
- Antywirus: porównanie ze znanymi złośliwymi programami. Skuteczny wobec tego, co już krąży, mniej wobec pliku przygotowanego na potrzeby jednej kampanii.
- Makra Office: dokument Word lub Excel zawierający kod, który prosi o „włączenie zawartości”, aby go uruchomić. To stary schemat, wciąż stosowany.
- PDF: skrypty, ukryte linki, formularze prowadzące do fałszywej strony logowania.
- Pliki HTML: załącznik, który otwiera się w przeglądarce i imituje stronę logowania, bez przechodzenia przez witrynę, którą można by zablokować.
- Obrazy: kod QR zawierający link lub tekst ukryty w obrazie, aby uniknąć analizy tekstu.
Gdy załącznik zostanie uznany za niebezpieczny, rozsądne są dwa rozwiązania: usunąć załącznik i dostarczyć wiadomość z adnotacją wyjaśniającą usunięcie albo umieścić całą wiadomość w kwarantannie. W obu przypadkach plik nie trafia na stację roboczą.
Linki: przy dostarczeniu, a potem przy kliknięciu
Link jest analizowany w wiadomości: reputacja adresu i domeny, podobieństwo do znanej marki, niedawno utworzona domena. Kod QR stanowi szczególny problem: przenosi link z chronionego komputera na prywatny telefon, który często jest chroniony słabiej. Odczytanie go z obrazu z powrotem obejmuje ten link kontrolą.
Jednak link bezpieczny o 9:00 może być złośliwy o 14:00. Oszuści najpierw wysyłają link do niegroźnej strony, a po dostarczeniu wiadomości zmieniają jej zawartość. Dlatego istnieje ochrona w momencie kliknięcia: link jest przepisywany tak, aby przechodził przez weryfikację w chwili, gdy użytkownik go kliknie. Jeśli strona stała się niebezpieczna, kliknięcie zostaje zablokowane, nawet jeśli wiadomość została dostarczona.
Linki do udostępnionych plików
Coraz więcej złośliwych wiadomości nie zawiera żadnego załącznika: odsyłają do dokumentu umieszczonego w znanej usłudze udostępniania plików. Domena linku ma wtedy doskonałą reputację, bo należy do dużej usługi. Analiza musi dotyczyć czegoś innego: czy nadawca jest stałym korespondentem, czy wiadomość przypomina kampanię, czy otwierana strona prosi o hasło? Właśnie tu weryfikacja w momencie kliknięcia i wykrywanie nietypowych zachowań liczą się bardziej niż lista niebezpiecznych domen.
Ransomware: co bramka może zrobić, a czego nie
Cybermalveillance.gouv.fr opisuje ransomware jako atak, który blokuje dostęp do systemu lub szyfruje dane, a czasem grozi ich ujawnieniem, w zamian za okup. Serwis zauważa, że włamanie następuje zwykle przez lukę lub źle zabezpieczony dostęp zdalny albo przez przejęcie konta lub komputera za pomocą phishingu lub złośliwego programu.
Poczta e-mail nie jest jedyną drogą wejścia, ale ANSSI określa ją jako „główny wektor infekcji stacji roboczych”. Ta sama instytucja wymienia „wysyłanie złośliwych załączników w celu wykorzystania podatności stacji roboczej do wymuszenia okupu lub szpiegostwa”. Jest to też droga wejścia, którą można filtrować, zanim dotrze do skrzynki. Typowy przebieg ataku przez e-mail:
- wiadomość z załącznikiem lub linkiem;
- włączone makro albo hasło wpisane na fałszywej stronie;
- dostęp do sieci lub kont;
- później, czasem po kilku tygodniach, zaszyfrowanie plików.
Przykład dla ilustracji. Pracownik otrzymuje „nieopłaconą fakturę” w formacie Word. Dokument wyświetla rozmazany baner i prosi o włączenie zawartości, aby można było go przeczytać. Jeśli pracownik to zrobi, makro pobiera program, który daje dostęp do komputera. Pliki na serwerze zostaną zaszyfrowane dopiero później. Jeśli załącznik zostanie usunięty przy odbiorze, ten łańcuch się nie zaczyna; jeśli przejdzie, wszystko zależy od odruchu, by nie włączać makra, a potem od kopii zapasowej.
Bramka działa na pierwszym etapie. Nie widzi włamania przez dostęp zdalny ani konta już otwartego hasłem skradzionym gdzie indziej. Niczego nie przywraca.
Cybermalveillance.gouv.fr zaleca regularne kopie zapasowe, kopie odłączone od sieci, sprawdzone przywracanie oraz niezwłoczne instalowanie aktualizacji. Zaleca też, by nie płacić okupu. W odniesieniu do Państwa plików temat ten omawia poradnik ransomware: ochrona i przywracanie systemu zarządzania dokumentami (DMS).
Co pozostaje zadaniem człowieka
- Nie włączać makr w dokumencie otrzymanym e-mailem, nawet jeśli uprzejmie o to prosi.
- Nie wpisywać hasła na stronie otwartej z otrzymanego linku; korzystać ze zwykłego adresu lub zakładki. Cybermalveillance.gouv.fr radzi też sprawdzać adres strony, w którym może się różnić jeden znak.
- Nie skanować kodu QR otrzymanego e-mailem, aby „się zalogować”.
- Zgłaszać podejrzaną wiadomość zamiast ją usuwać: zgłoszenie pomaga filtrowi i ostrzega współpracowników.
- Nie zwalniać z kwarantanny wiadomości, której się nie oczekiwało, tylko po to, by zobaczyć, co zawiera.
Granice każdej analizy
- Plik zaszyfrowany przez nadawcę: archiwum chronione hasłem podanym w wiadomości jest dla filtra nieczytelne. To znana technika obejścia zabezpieczeń; obsługuje się ją za pomocą reguły (kwarantanna, ostrzeżenie), a nie analizy treści.
- Nowy złośliwy dokument, bez znanej sygnatury, może przejść przez antywirus. Wtedy inne sygnały (nadawca, kontekst, makra) przejmują rolę – bez gwarancji.
- Przejęte prawdziwe konto, które wysyła prawdziwą, ale zainfekowaną fakturę, korzysta z zaufania do nadawcy.
- Link zainfekowany po fakcie przejdzie, jeśli nikt nie sprawdzi go ponownie w momencie kliknięcia.
- Wiadomość wewnętrzna wymieniana między dwiema skrzynkami tego samego systemu pocztowego, bez opuszczania go, nie przechodzi przez bramkę umieszczoną przed nim: widzi ją filtr systemu pocztowego albo nikt.
Kwarantanna istnieje na wątpliwe przypadki: wiadomość nie jest ani dostarczona, ani utracona. Zob. Kwarantanna, fałszywe alarmy i zgłoszenia.
Najczęściej zadawane pytania
Czy usunięty załącznik przepada?
Wiadomość dociera z adnotacją wyjaśniającą usunięcie. Jeśli załącznik był prawidłowy, administrator lub odbiorca korzysta z kwarantanny: zob. Kwarantanna, fałszywe alarmy i zgłoszenia.
Czy plik PDF naprawdę może być niebezpieczny?
Tak: może zawierać skrypty lub odsyłać do fałszywej strony logowania. Dlatego jest sprawdzany tak samo jak dokument Office.
Dlaczego link sprawdzony wczoraj jest dziś blokowany?
Strona zmieniła się od czasu dostarczenia wiadomości. Ochrona w momencie kliknięcia ocenia stronę w chwili, gdy ją Państwo otwierają.
Czy bramka wystarczy przeciwko ransomware?
Nie. Ogranicza wejście przez pocztę e-mail. Resztę zapewniają aktualizacje, zabezpieczenie dostępu zdalnego i kopie zapasowe. Zob. ransomware: ochrona i przywracanie systemu zarządzania dokumentami (DMS).
Miejsce Klytic
Podział funkcji Klytic MTA między dwa pakiety, zgodnie z opublikowaną ofertą:
| Analiza | Essential | Advanced |
|---|
| Antywirus i zaszyfrowana kwarantanna | Tak | Tak |
| Złośliwe makra Office i pliki PDF | Tak | Tak |
| Ochrona przed phishingiem, podszywanie się pod marki, kody QR | Tak | Tak |
| Usuwanie niebezpiecznych załączników z komunikatem informacyjnym | Tak | Tak |
| Bezpieczne zwalnianie z kwarantanny i powiadomienia | Tak | Tak |
| Złośliwe pliki HTML i tekst ukryty w obrazach | Nie | Tak |
| Linki ponownie analizowane w momencie kliknięcia | Nie | Tak |
Klytic MTA działa przed dowolnym systemem pocztowym, bez Klytic Mail. Nie zastępuje kopii zapasowych Państwa plików i skrzynek: w Klytic są to kopie zapasowe samych usług, opisane na stronie bezpieczeństwo i kopie zapasowe.
Źródła
Stan na październik 2026 r.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?” (Ransomware: co zrobić, jeśli Państwa organizacja padła ofiarą ataku?): definicja, sposoby włamania (luki, dostęp zdalny, phishing, złośliwy program), kopie zapasowe odłączone od sieci i przetestowane, aktualizacje, niepłacenie okupu. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?” (Co zrobić w przypadku phishingu?): sprawdzenie adresu linku i strony przed wpisaniem danych. cybermalveillance.gouv.fr
- Klytic, strona Klytic MTA: analiza załączników i linków w pakietach Essential i Advanced, opcje, tryby wdrożenia, uruchomienie poprzez rekord MX. klytic.com
- ANSSI, „Guide d’hygiène informatique” (Poradnik higieny informatycznej), wersja 2.0, wrzesień 2017, środek 24 „Protéger sa messagerie professionnelle” (Chronić służbową pocztę): „Poczta e-mail jest głównym wektorem infekcji stacji roboczych” (tłumaczenie). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, katalog środków, środek „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage” (Wdrożyć rozwiązanie antyspamowe i antyphishingowe): „Systemy pocztowe są jednym z głównych wektorów ataków, ponieważ są bardzo szeroko używane i wystawione w Internecie” (tłumaczenie). monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet” (Zalecenia dotyczące podłączenia systemu informatycznego do Internetu), ANSSI-PA-066, wersja 3.0, 19 czerwca 2020 r., rozdział 5 „Sécurisation du service de messagerie électronique” (Zabezpieczenie usługi poczty elektronicznej): poczta e-mail „stała się jednym z głównych wektorów ataków informatycznych” (phishing, złośliwe załączniki); § 5.2.3: mechanizmy antyspamowe i wykrywania złośliwych treści „muszą zostać wdrożone” (tłumaczenie). messervices.cyber.gouv.fr
