Neželena pošta: količina
Neželena pošta (spam) je nezahtevana pošta, poslana množično. Je nadležna in jemlje čas, redko pa išče določeno žrtev.
Kaj jo izda: ugled strežnika ali domene, ki jo pošilja, domena, ustvarjena pred nekaj dnevi, oglaševalska vsebina, enaka pri tisočih prejemnikov. Filter ugleda in vsebine jo dobro ustavi, ciljno zadrževanje neznanih pošiljateljev pa izloči del samodejnih pošiljanj.
Razlikovati je treba sivo pošto. Novičnik, na katerega se je nekdo naročil, ali promocija znanega dobavitelja nista neželena pošta. Če ju razvrstimo posebej, nabiralnik ne potone, pričakovano sporočilo pa ni blokirano.
Phishing: verodostojnost
Francoski nacionalni sistem pomoči žrtvam, cybermalveillance.gouv.fr, phishing (ribarjenje) opisuje kot lažno sporočilo, ki se izdaja za zaupanja vredno tretjo osebo (banko, upravo, dobavitelja, družbeno omrežje), da bi ukradlo uporabniška imena, gesla ali bančne podatke. Pogoste oblike v podjetjih:
- lažna prijavna stran za e-pošto ali deljenje datotek;
- posnemana znana blagovna znamka: prevoznik, banka, programska hiša;
- koda QR v sliki, ki povezavo prenese z računalnika na telefon;
- sporočilo, ki poziva k klicu na lažno številko podpore.
Avtentikacija domene tu ne zadošča. Goljufivec, ki kupi domeno, podobno vaši, lahko za to domeno povsem pravilno nastavi SPF, DKIM in DMARC: njegovo sporočilo je pristno … za domeno, ki ni vaša. Izda ga podobnost z znano blagovno znamko ali domeno, starost domene, ugled povezav, vsebina.
Ko phishing cilja na določeno osebo, da bi dosegel nakazilo, postane prevara z lažnim direktorjem: glejte Lažno predstavljanje in prevara z lažnim direktorjem. Kaj SPF, DKIM in DMARC dejansko ustavijo, je podrobno opisano v SPF, DKIM in DMARC.
Zlonamerna programska oprema: priponka ali povezava
Zlonamerni program pride v priponki ali za povezavo: dokument Office, ki zahteva vklop makrov, okumen PDF, datoteka HTML, ki posnema prijavno stran, arhiv, slika s kodo QR. Samo sporočilo je lahko povsem običajno (»vaš račun«, »deljeni dokument«).
Odgovor se nanaša na datoteko in povezavo: protivirusni pregled, pregled makrov in PDF, branje kod QR, ugled naslovov, nato preverjanje ob kliku. Vodnik Priponke, povezave in izsiljevalska programska oprema v e-pošti podrobno opisuje, kaj se preverja in kaj ostaja človeško dejanje.
Ogrožen račun: pravi nabiralnik
Tu sporočilo odide iz pravega nabiralnika, nabiralnika dobavitelja, stranke ali sodelavca, ki mu je bilo geslo ukradeno. SPF uspe, podpis DKIM je veljaven, pošiljatelj je znan. Filter, ki gleda le »ali je pošiljatelj neznan ali slabo avtenticiran?«, ne vidi ničesar.
Znaki so v vedenju:
- stalni dopisnik, ki nenadoma piše neobičajnim prejemnikom ali velikemu številu prejemnikov;
- ton, jezik ali ura, ki mu niso podobni;
- nova zahteva: sprememba bančnih podatkov, nepričakovana povezava za deljenje, dokument, ki ga je treba »nujno podpisati«;
- odgovor, vstavljen v star pogovor, da izkoristi njegovo verodostojnost.
Ločiti je treba dve situaciji. Ko vam piše račun tretje osebe, lahko dohodni filter opazi nepravilnost. Ko gre za vaš lastni račun, je to najprej tema vaše e-pošte: geslo, dvofaktorska avtentikacija, opozorila ob prijavi, pravila posredovanja, ki jih je dodal napadalec. To ni isti projekt kot zunanji phishing, čeprav se pogosto začne s phishingom.
Štiri grožnje, štirje odgovori
| Grožnja | Kaj jo izda | Glavni odgovor | Kaj ne zadošča |
|---|
| Neželena pošta | Količina, ugled, nova domena | Ugled in vsebina, ciljno zadrževanje | Ročno brisanje |
| Phishing | Posnemana znamka ali domena, sumljiva povezava | Zaznavanje lažnega predstavljanja, analiza povezav in kod QR | Samo SPF, DKIM in DMARC |
| Zlonamerna programska oprema | Priponka ali povezava | Analiza datotek, zaščita ob kliku | Filter neželene pošte na podlagi ugleda |
| Ogrožen račun | Sprememba navad znanega pošiljatelja | Zaznavanje nepravilnosti, nato varnost računa | Črni seznam pošiljateljev |
Primer v ponazoritev. Istega ponedeljka MSP prejme val oglasov za tiskalnike, lažno obvestilo o dostavi s kodo QR, »račun« v obliki HTML in sporočilo računovodje stalne stranke, ki napoveduje nov bančni račun. Prva tri sodijo k filtru. Četrto prihaja iz pravega nabiralnika: filter lahko opozori na nepravilnost, odloči pa klic na že znano številko stranke.
Kako deluje sodobno filtriranje
Sodoben filter ne odloča na podlagi enega samega merila. Oceno izračuna iz več signalov:
- pristnost pošiljatelja: SPF, DKIM, DMARC, ugled strežnika in domene, starost domene;
- sporočilo: povezave, besedilo, znani scenariji prevar, podobnost z blagovno znamko ali notranjim imenom;
- priponke: protivirusni pregled, makri, PDF, slike;
- kontekst: isto sporočilo, poslano veliko prejemnikom (kampanja), ali stalni pošiljatelj, ki spremeni vedenje.
Ocena vodi do stopnjevane odločitve: dostaviti, dati v karanteno, zavrniti ali odložiti neznanega pošiljatelja. Karantena je enako pomembna kot zavrnitev: legitimno sporočilo, ki je bilo pomotoma odloženo, mora biti mogoče najti in sprostiti, glejte Karantena, lažni pozitivni rezultati in prijave.
Prijave uporabnikov, »to je neželena pošta« ali »to je legitimno«, nato prilagodijo ugled pošiljateljev. Filter, ki se uči iz svojih napak, naredi manj lažnih pozitivnih rezultatov.
Pogosta vprašanja
Zakaj z dobrim filtrom še vedno prejemamo neželeno pošto?
Ker filter tehta med preveč blokiranja in prepuščanjem. Nastavitev, ki ne prepusti ničesar, odloži tudi pričakovana sporočila.
Ali je sporočilo, ki uspe pri DMARC, varno?
Ne. Dokazuje, da je prikazana domena dovolila pošiljanje, ne pa, da je vsebina poštena. Glejte SPF, DKIM in DMARC.
Kaj storiti s sumljivim sporočilom, ki je že prispelo?
Ne kliknite, ne odgovorite, prijavite ga skrbniku, namesto da ga izbrišete. Cybermalveillance.gouv.fr ob dvomu priporoča tudi, da se z organizacijo povežete po poti, ki jo poznate.
Račun sodelavca pošilja čudna sporočila: kaj storiti?
Obvestite skrbnika e-pošte, ki zamenja geslo ter preveri dvofaktorsko avtentikacijo in pravila posredovanja. To ni nastavitev filtra.
Kje je Klytic
Klytic MTA vsako sporočilo analizira v plasteh, pred nabiralnikom, pred katerim koli e-poštnim sistemom.
- Pristnost (Essential in Advanced): SPF, DKIM, DMARC, tudi za posredovana sporočila, ugled strežnikov in domen, starost domen, ciljno zadrževanje neznanih pošiljateljev.
- Sporočilo (Essential in Advanced): zaščita pred phishingom, zloraba blagovne znamke, podobne domene in prikazno ime, kode QR, zaznavanje kampanj in neobičajnega vedenja pošiljatelja, razvrščanje novičnikov.
- Priponke (Essential in Advanced): protivirusni pregled, makri Office, PDF; nevarne priponke odstranjene z obvestilom. Advanced doda okumene datoteke HTML in besedilo, skrito v slikah.
- Ob kliku (Advanced): povezave se znova analizirajo, ko uporabnik klikne.
- Finančne prevare (Advanced): prevara z lažnim direktorjem, lažni računi, lažna nakazila in drugi scenariji.
Prijave uporabnikov napajajo skupno učenje med instancami, o sporočilih z dvoumno oceno pa v obeh paketih presoja model UI. Kaj ta model prejme, je pojasnjeno v UI pri filtriranju e-pošte in kaj zapusti podjetje.
Omejitev: Klytic MTA vidi pošto, ki gre skozenj. Varnost vaših lastnih računov (gesla, dvofaktorska avtentikacija, prijave) ostaja naloga vaše e-pošte.
Viri
Pregledano oktobra 2026.
- Cybermalveillance.gouv.fr, »Que faire en cas de phishing ou hameçonnage ?«: opredelitev phishinga, izdajanje za zaupanja vredno tretjo osebo, kraja uporabniških imen in bančnih podatkov, nasveti za preverjanje. cybermalveillance.gouv.fr
- RFC 7489, DMARC: mehanizem ne obravnava vizualno podobnih domen, zlorabe prikaznega imena niti analize vsebine. rfc-editor.org
- Klytic, stran Klytic MTA: plasti analize in moduli paketov Essential in Advanced, dodatne možnosti, načini namestitve, vzpostavitev prek zapisa MX. klytic.com
