Ce se examinează într-un atașament
- Antivirus: compararea cu programe malițioase cunoscute. Eficient pentru ce circulă deja, mai puțin pentru un fișier creat pentru o singură campanie.
- Macrocomenzi Office: un document Word sau Excel care conține cod și care cere să „activați conținutul” pentru a-l executa. Este o schemă veche, încă folosită.
- PDF: scripturi, linkuri ascunse, formulare care trimit către o pagină de autentificare falsă.
- Fișiere HTML: un atașament care se deschide în browser și imită o pagină de autentificare, fără a trece printr-un site care ar putea fi blocat.
- Imagini: un cod QR care conține un link sau un text ascuns în imagine pentru a scăpa de analiza textului.
Când un atașament este considerat periculos, există două soluții rezonabile: eliminarea atașamentului și livrarea mesajului cu o mențiune explicativă sau plasarea întregului mesaj în carantină. În ambele cazuri, fișierul nu ajunge pe stația de lucru.
Linkurile: la livrare, apoi la clic
Un link este analizat în mesaj: reputația adresei și a domeniului, asemănarea cu o marcă cunoscută, un domeniu creat recent. Codul QR pune o problemă aparte: mută linkul de pe computer, care este protejat, pe telefonul personal, care adesea este mai puțin protejat. Citirea lui din imagine readuce linkul sub control.
Dar un link sigur la ora 9 poate deveni capcană la ora 14. Escrocii trimit mai întâi un link către o pagină inofensivă, apoi schimbă pagina după ce mesajul a fost livrat. Acesta este motivul protecției la clic: linkul este rescris pentru a trece printr-o verificare în momentul în care utilizatorul dă clic. Dacă pagina a devenit periculoasă, clicul este oprit, chiar dacă mesajul a fost livrat.
Cazul linkurilor de partajare
Tot mai multe mesaje malițioase nu conțin niciun atașament: trimit către un document depus pe un serviciu cunoscut de partajare a fișierelor. Domeniul linkului are atunci o reputație excelentă, deoarece este cel al unui serviciu mare. Analiza trebuie să vizeze restul: expeditorul este unul obișnuit, mesajul seamănă cu o campanie, pagina deschisă cere o parolă? Aici verificarea la clic și detectarea comportamentelor neobișnuite contează mai mult decât lista domeniilor periculoase.
Ransomware: ce poate face gateway-ul și ce nu poate face
Cybermalveillance.gouv.fr descrie ransomware-ul ca pe un atac care blochează accesul la un sistem sau criptează datele și, uneori, amenință cu divulgarea lor, în schimbul unei răscumpărări. Dispozitivul notează că intruziunea are loc, în general, printr-o vulnerabilitate sau printr-un acces de la distanță insuficient securizat ori prin compromiterea unui cont sau a unui echipament prin phishing sau printr-un program malițios.
E-mailul nu este singura cale de intrare, dar ANSSI îl desemnează drept „principalul vector de infectare a stației de lucru” (traducere). Același organism menționează „trimiterea de atașamente malițioase pentru a exploata vulnerabilitățile unei stații de lucru în scop de șantaj sau de spionaj” (traducere). Este, de asemenea, o cale de intrare care poate fi filtrată înainte să ajungă la căsuță. Desfășurarea tipică prin e-mail:
- un mesaj cu un atașament sau un link;
- o macrocomandă activată sau o parolă introdusă pe o pagină falsă;
- un acces la rețea sau la conturi;
- mai târziu, uneori după câteva săptămâni, criptarea fișierelor.
Exemplu, cu titlu ilustrativ. Un angajat primește o „factură neplătită” în format Word. Documentul afișează un banner neclar și cere activarea conținutului pentru a fi citit. Dacă angajatul o face, macrocomanda descarcă un program care oferă acces la stația de lucru. Fișierele de pe server vor fi criptate abia mai târziu. Dacă atașamentul este eliminat la sosire, acest lanț nu începe; dacă trece, totul depinde de reflexul de a nu activa macrocomanda, apoi de backup.
Gateway-ul acționează asupra primei etape. Nu vede o intruziune printr-un acces de la distanță, nici un cont deja deschis cu o parolă furată în altă parte. Nu restaurează nimic.
Cybermalveillance.gouv.fr recomandă backupuri regulate, copii deconectate, restaurări verificate și actualizări aplicate fără întârziere. Recomandă, de asemenea, să nu plătiți răscumpărarea. Pentru fișierele dumneavoastră, subiectul este tratat în ransomware: protejarea și restaurarea gestiunii electronice a documentelor.
Ce rămâne un gest uman
- Nu activați macrocomenzile unui document primit prin e-mail, chiar dacă vă cere acest lucru politicos.
- Nu introduceți o parolă pe o pagină deschisă dintr-un link primit; folosiți adresa obișnuită sau un marcaj. Cybermalveillance.gouv.fr recomandă, de asemenea, verificarea adresei site-ului, unde un singur caracter poate fi diferit.
- Nu scanați un cod QR primit prin e-mail pentru „a vă conecta”.
- Semnalați un mesaj dubios în loc să îl ștergeți: semnalarea ajută filtrul și îi avertizează pe colegi.
- Nu eliberați din carantină un mesaj pe care nu îl așteptatăți, doar ca să vedeți ce conține.
Limitele oricărei analize
- Fișierul criptat de expeditor: o arhivă protejată cu o parolă indicată în mesaj este ilizibilă pentru filtru. Este o tehnică de evitare cunoscută; se tratează printr-o regulă (carantină, avertisment), mai degrabă decât prin analiza conținutului.
- Documentul malițios inedit, fără semnătură cunoscută, poate trece de antivirus. Celelalte semnale (expeditor, context, macrocomenzi) preiau atunci ștafeta, fără garanție.
- Contul legitim compromis care trimite o factură reală capcană beneficiază de încrederea acordată expeditorului.
- Linkul transformat ulterior în capcană trece dacă nimeni nu îl reverifică în momentul clicului.
- Mesajul intern schimbat între două căsuțe ale aceluiași serviciu de e-mail, fără a ieși din acesta, nu trece printr-un gateway plasat în față: îl vede filtrul serviciului de e-mail sau nimeni.
Carantina există pentru cazurile îndoielnice: mesajul nu este nici livrat, nici pierdut. Consultați Carantină, rezultate fals pozitive și semnalări.
Întrebări frecvente
Un atașament eliminat este pierdut?
Mesajul sosește cu o mențiune care explică eliminarea. Dacă atașamentul era legitim, administratorul sau destinatarul trece prin carantină: consultați Carantină, rezultate fals pozitive și semnalări.
Poate un PDF să fie cu adevărat periculos?
Da: poate conține scripturi sau poate trimite către o pagină de autentificare falsă. De aceea este inspectat la fel ca un document Office.
De ce un link verificat ieri este blocat astăzi?
Pagina s-a schimbat de la livrare. Protecția la clic evaluează pagina în momentul în care o deschideți.
Un gateway este suficient împotriva ransomware-ului?
Nu. Reduce intrarea prin e-mail. Actualizările, accesele de la distanță și backupul fac restul. Consultați ransomware: protejarea și restaurarea gestiunii electronice a documentelor.
Unde se situează Klytic
Repartizarea funcțiilor Klytic MTA între cele două oferte, așa cum este publicată:
| Analiză | Essential | Advanced |
|---|
| Antivirus și carantină criptată | Da | Da |
| Macrocomenzi Office și PDF capcană | Da | Da |
| Anti-phishing, uzurparea identității mărcilor, coduri QR | Da | Da |
| Atașamente periculoase eliminate, cu un mesaj de informare | Da | Da |
| Eliberare securizată din carantină și notificări | Da | Da |
| Fișiere HTML capcană și text ascuns în imagini | Nu | Da |
| Linkuri reanalizate în momentul clicului | Nu | Da |
Klytic MTA funcționează în fața oricărui serviciu de e-mail, fără Klytic Mail. Nu înlocuiește backupul fișierelor și al căsuțelor dumneavoastră poștale: la Klytic, acestea sunt backupurile serviciilor înseleși, descrise pe pagina securitate și backup.
Surse
Consultate în octombrie 2026.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?” (Ransomware: ce trebuie făcut dacă organizația dumneavoastră este victima unui atac): definiție, moduri de intruziune (vulnerabilități, accese de la distanță, phishing, program malițios), backupuri deconectate și testate, actualizări, neplata răscumpărării. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?” (Ce trebuie făcut în caz de phishing): verificarea adresei unui link și a site-ului înainte de a introduce informații. cybermalveillance.gouv.fr
- Klytic, pagina Klytic MTA: analizele atașamentelor și ale linkurilor în ofertele Essential și Advanced, opțiuni, moduri de implementare, punere în funcțiune prin MX. klytic.com
- ANSSI, „Guide d’hygiène informatique” (Ghid de igienă informatică), versiunea 2.0, septembrie 2017, măsura 24 „Protéger sa messagerie professionnelle” (Protejarea e-mailului profesional): „E-mailul este principalul vector de infectare a stației de lucru” (traducere). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, referențialul de măsuri, măsura „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage” (Implementarea unei soluții antispam și anti-phishing): „Sistemele de e-mail sunt unul dintre principalii vectori de atac, întrucât sunt utilizate pe scară foarte largă și expuse pe internet” (traducere). monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet” (Recomandări privind interconectarea unui sistem informatic la Internet), ANSSI-PA-066, versiunea 3.0, 19 iunie 2020, capitolul 5 „Sécurisation du service de messagerie électronique” (Securizarea serviciului de e-mail): e-mailul „a devenit unul dintre principalii vectori de atac informatic” (traducere) (phishing, atașamente malițioase); § 5.2.3, mecanismele antispam și de căutare a conținutului malițios „trebuie implementate”. messervices.cyber.gouv.fr
