Spam: volumul
Spamul este corespondență nesolicitată, trimisă în masă. Este neplăcut și consumă timp, dar rareori caută o victimă anume.
Ce îl trădează: reputația serverului sau a domeniului care îl trimite, un domeniu creat cu câteva zile în urmă, un conținut publicitar repetat identic la mii de destinatari. Un filtru de reputație și de conținut îl oprește bine, iar amânarea țintită a expeditorilor necunoscuți înlătură o parte din trimiterile automatizate.
De făcut distincția: corespondența „gri”. Un newsletter la care cineva s-a abonat sau o promoție de la un furnizor cunoscut nu sunt spam. Clasarea lor separată evită aglomerarea căsuței, fără a bloca un mesaj așteptat.
Phishing: credibilitatea
Dispozitivul național de asistență pentru victime, cybermalveillance.gouv.fr, descrie phishingul ca pe un mesaj fals care se dă drept o terță parte de încredere (bancă, administrație, furnizor, rețea socială) pentru a fura date de autentificare, parole sau date bancare. Formele frecvente în companii:
- o pagină falsă de autentificare în serviciul de e-mail sau în platforma de partajare a fișierelor;
- o marcă cunoscută imitată: firmă de transport, bancă, producător de software;
- un cod QR într-o imagine, care mută linkul de pe computer pe telefon;
- un mesaj care vă invită să sunați la un fals număr de suport.
Autentificarea domeniului nu este suficientă aici. Un escroc care cumpără un domeniu asemănător cu al dumneavoastră poate configura perfect SPF, DKIM și DMARC pentru acel domeniu: mesajul său este autentic… pentru un domeniu care nu este al dumneavoastră. Ce îl trădează este asemănarea cu o marcă sau cu un domeniu cunoscut, vechimea domeniului, reputația linkurilor, conținutul.
Când phishingul vizează o persoană anume pentru a obține un transfer bancar, devine fraudă de tip CEO: consultați uzurparea identității și frauda de tip CEO. Ce opresc cu adevărat SPF, DKIM și DMARC este detaliat în SPF, DKIM și DMARC.
Malware: atașamentul sau linkul
Programul malițios sosește într-un atașament sau în spatele unui link: document Office care cere activarea macrocomenzilor, PDF capcană, fișier HTML care imită o pagină de autentificare, arhivă, imagine care conține un cod QR. Mesajul în sine poate fi banal („factura dumneavoastră”, „document partajat”).
Răspunsul vizează fișierul și linkul: antivirus, inspecția macrocomenzilor și a fișierelor PDF, citirea codurilor QR, reputația adreselor, apoi verificarea în momentul clicului. Ghidul atașamente, linkuri și ransomware detaliază ce se examinează și ce rămâne un gest uman.
Cont compromis: căsuța reală
Aici, mesajul pleacă dintr-o căsuță reală, a unui furnizor, a unui client sau a unui coleg căruia i-a fost furată parola. SPF trece, semnătura DKIM este validă, expeditorul este cunoscut. Un filtru care se uită doar la întrebarea „expeditorul este necunoscut sau prost autentificat?” nu vede nimic.
Semnele se află în comportament:
- un corespondent obișnuit care scrie brusc unor destinatari neobișnuiți sau unui număr mare de destinatari;
- un ton, o limbă sau o oră care nu i se potrivesc;
- o cerere nouă: schimbarea datelor bancare, un link de partajare neașteptat, un document „de semnat urgent”;
- un răspuns inserat într-un fir de discuție vechi, pentru a profita de credibilitatea acestuia.
Două situații trebuie separate. Când vă scrie contul unei terțe părți, filtrul pentru mesajele primite poate depista anomalia. Când este vorba de propriul dumneavoastră cont, subiectul ține în primul rând de serviciul dumneavoastră de e-mail: parolă, autentificare în doi pași, alerte de conectare, reguli de redirecționare adăugate de atacator. Nu este același proiect ca phishingul extern, chiar dacă începe adesea printr-un phishing.
Patru amenințări, patru răspunsuri
| Amenințare | Ce o trădează | Răspunsul principal | Ce nu este suficient |
|---|
| Spam | Volum, reputație, domeniu recent | Reputație și conținut, amânare țintită | Ștergerea manuală |
| Phishing | Marcă sau domeniu imitat, link dubios | Detectarea uzurpării identității, analiza linkurilor și a codurilor QR | SPF, DKIM și DMARC singure |
| Malware | Atașament sau link | Analiza fișierelor, protecție la clic | Un antispam bazat pe reputație |
| Cont compromis | Schimbarea obiceiurilor unui expeditor cunoscut | Detectarea anomaliilor, apoi securitatea contului | O listă neagră de expeditori |
Exemplu, cu titlu ilustrativ. În aceeași zi de luni, un IMM primește un val de reclame la imprimante, un fals aviz de livrare cu un cod QR, o „factură” în format HTML și un mesaj de la contabilul unui client obișnuit care anunță un nou cont bancar. Primele trei țin de filtru. Al patrulea vine dintr-o căsuță reală: filtrul poate semnala anomalia, dar decizia o dă un apel la numărul deja cunoscut al clientului.
Cum funcționează o filtrare modernă
Un filtru recent nu ia decizia pe baza unui singur criteriu. El calculează un scor pornind de la mai multe semnale:
- autenticitatea expeditorului: SPF, DKIM, DMARC, reputația serverului și a domeniului, vechimea domeniului;
- mesajul: linkuri, text, scenarii de escrocherie cunoscute, asemănarea cu o marcă sau cu un nume intern;
- atașamentele: antivirus, macrocomenzi, PDF, imagini;
- contextul: același mesaj trimis multor destinatari (o campanie) sau un expeditor obișnuit care își schimbă comportamentul.
Scorul duce la o decizie graduală: livrare, carantină, respingere sau amânarea unui expeditor necunoscut. Carantina contează la fel de mult ca respingerea: un mesaj legitim pus deoparte din greșeală trebuie să poată fi regăsit și eliberat, consultați Carantină, rezultate fals pozitive și semnalări.
Semnalările utilizatorilor, „acesta este spam” sau „acesta este legitim”, ajustează apoi reputația expeditorilor. Un filtru care învață din greșelile sale produce mai puține rezultate fals pozitive.
Întrebări frecvente
De ce mai primim spam cu un filtru bun?
Pentru că un filtru arbitrează între a bloca prea mult și a lăsa să treacă. O setare care nu lasă să treacă nimic pune deoparte și mesaje așteptate.
Un mesaj care trece de DMARC este sigur?
Nu. Dovedește că domeniul afișat a autorizat trimiterea, nu că și conținutul este onest. Consultați SPF, DKIM și DMARC.
Ce faceți cu un mesaj suspect deja primit?
Nu dați clic, nu răspundeți, semnalați-l administratorului în loc să-l ștergeți. Cybermalveillance.gouv.fr recomandă, de asemenea, ca în caz de îndoială să contactați organizația printr-un mijloc pe care îl cunoașteți.
Contul unui coleg trimite mesaje ciudate: ce faceți?
Anunțați administratorul serviciului de e-mail, care schimbă parola, verifică autentificarea în doi pași și regulile de redirecționare. Nu este o setare a filtrului.
Unde se situează Klytic
Klytic MTA analizează fiecare mesaj în straturi, înainte de căsuță, în fața oricărui serviciu de e-mail.
- Autenticitate (Essential și Advanced): SPF, DKIM, DMARC inclusiv pentru mesajele redirecționate, reputația serverelor și a domeniilor, vechimea domeniilor, amânarea țintită a expeditorilor necunoscuți.
- Mesaj (Essential și Advanced): anti-phishing, uzurparea identității mărcilor, domenii-clonă și numele afișat, coduri QR, detectarea campaniilor și a comportamentelor neobișnuite ale unui expeditor, sortarea newsletterelor.
- Atașamente (Essential și Advanced): antivirus, macrocomenzi Office, PDF; atașamentele periculoase sunt eliminate, cu un mesaj de informare. Advanced adaugă fișierele HTML capcană și textul ascuns în imagini.
- În momentul clicului (Advanced): linkurile sunt reanalizate atunci când utilizatorul dă clic.
- Fraudă financiară (Advanced): frauda de tip CEO, facturi false, transferuri false și alte scenarii.
Semnalările utilizatorilor alimentează o învățare partajată între instanțe, iar mesajele cu scor ambiguu sunt arbitrate de un model AI, în ambele oferte. Ce primește acest model este explicat în AI în filtrarea e-mailurilor.
Limită: Klytic MTA vede corespondența care trece prin el. Securitatea propriilor dumneavoastră conturi (parole, autentificare în doi pași, conectări) rămâne în sarcina serviciului dumneavoastră de e-mail.
Surse
Consultate în octombrie 2026.
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?” (Ce trebuie făcut în caz de phishing): definiția phishingului, uzurparea identității unei terțe părți de încredere, furtul datelor de autentificare și al datelor bancare, sfaturi de verificare. cybermalveillance.gouv.fr
- RFC 7489, DMARC: mecanismul nu tratează nici domeniile asemănătoare vizual, nici abuzul de nume afișat, nici analiza conținutului. rfc-editor.org
- Klytic, pagina Klytic MTA: straturi de analiză și modulele ofertelor Essential și Advanced, opțiuni, moduri de implementare, punere în funcțiune prin MX. klytic.com
