Vad som granskas i en bilaga
- Antivirus: jämförelse med kända skadliga program. Effektivt mot det som redan cirkulerar, mindre mot en fil som tillverkats för en enda kampanj.
- Office-makron: ett Word- eller Excel-dokument som innehåller kod och ber om att ”aktivera innehåll” för att köra den. Det är ett gammalt mönster som fortfarande används.
- PDF: skript, dolda länkar, formulär som leder till en falsk inloggningssida.
- HTML-filer: en bilaga som öppnas i webbläsaren och imiterar en inloggningssida, utan att gå via en webbplats som skulle kunna blockeras.
- Bilder: en QR-kod som innehåller en länk, eller text som döljs i bilden för att undgå textanalysen.
När en bilaga bedöms som farlig finns två rimliga utfall: ta bort bilagan och leverera meddelandet med en notering som förklarar det, eller sätta hela meddelandet i karantän. I båda fallen når filen inte datorn.
Länkar: vid leveransen, och sedan vid klicket
En länk analyseras i meddelandet: adressens och domänens rykte, likhet med ett känt varumärke, nyligen skapad domän. QR-koden är ett särskilt problem: den flyttar länken från datorn, som är skyddad, till den privata telefonen, som ofta är sämre skyddad. Att läsa den i bilden för tillbaka länken till kontrollen.
Men en länk som är ofarlig klockan 9 kan vara farlig klockan 14. Bedragare skickar först en länk till en harmlös sida, och ändrar sedan sidan när meddelandet har levererats. Det är skälet till skyddet vid klick: länken skrivs om så att den passerar en kontroll i det ögonblick användaren klickar. Om sidan har blivit farlig stoppas klicket, även om meddelandet har levererats.
Delningslänkar
Allt fler skadliga meddelanden innehåller ingen bilaga alls: de leder till ett dokument som lagts upp på en känd fildelningstjänst. Länkens domän har då ett utmärkt rykte, eftersom den tillhör en stor tjänst. Analysen måste då gälla resten: är avsändaren en vanlig kontakt, liknar meddelandet en kampanj, ber den öppnade sidan om ett lösenord? Det är där kontrollen vid klicket och upptäckten av ovanligt beteende väger tyngre än listan över farliga domäner.
Ransomware: vad gatewayen kan göra, och vad den inte kan
Cybermalveillance.gouv.fr beskriver ransomware som ett angrepp som blockerar åtkomsten till ett system eller krypterar data, och ibland hotar att publicera dem, i utbyte mot en lösensumma. Tjänsten konstaterar att intrånget i allmänhet sker via en sårbarhet eller en dåligt skyddad fjärråtkomst, eller via ett konto eller en dator som komprometterats genom nätfiske eller ett skadligt program.
E-posten är inte den enda vägen in, men ANSSI kallar den ”den främsta infektionsvägen till arbetsdatorn”. Samma myndighet nämner ”utskick av skadliga bilagor för att utnyttja sårbarheter i en arbetsdator i utpressnings- eller spionagesyfte”. Det är också en väg in som kan filtreras innan den når brevlådan. Det typiska förloppet via e-post:
- ett meddelande med en bilaga eller en länk;
- ett makro som aktiveras, eller ett lösenord som skrivs in på en falsk sida;
- åtkomst till nätverket eller kontona;
- senare, ibland veckor efteråt, kryptering av filerna.
Ett exempel, som illustration. En anställd får en ”obetald faktura” i Word-format. Dokumentet visar en suddig banner och ber om att innehållet aktiveras för att kunna läsas. Om hen gör det laddar makrot ner ett program som ger åtkomst till datorn. Filerna på servern krypteras först senare. Om bilagan tas bort vid ankomsten startar den kedjan aldrig; om den släpps igenom hänger allt på reflexen att inte aktivera makrot, och sedan på säkerhetskopian.
Gatewayen agerar i det första steget. Den ser inte ett intrång via fjärråtkomst, eller ett konto som redan öppnats med ett lösenord som stulits någon annanstans. Den återställer ingenting.
Cybermalveillance.gouv.fr rekommenderar regelbundna säkerhetskopior, frånkopplade kopior, testade återställningar och uppdateringar som installeras utan dröjsmål. Tjänsten rekommenderar också att inte betala lösensumman. För era filer behandlas frågan i Skydda ett dokumenthanteringssystem mot ransomware och återställa det.
Vad som förblir ett mänskligt beslut
- Aktivera inte makron i ett dokument som kommit via e-post, även om det ber artigt om det.
- Skriv inte in ett lösenord på en sida som öppnats från en mottagen länk; gå via den vanliga adressen eller ett bokmärke. Cybermalveillance.gouv.fr råder också till att kontrollera webbplatsens adress, där ett enda tecken kan skilja.
- Skanna inte en QR-kod som kommit via e-post för att ”logga in”.
- Rapportera ett tvivelaktigt meddelande i stället för att radera det: rapporten hjälper filtret och varnar kollegorna.
- Släpp inte ett meddelande som man inte väntade sig ur karantänen, bara för att se.
Gränserna för all analys
- Filen som krypterats av avsändaren: ett arkiv som skyddas av ett lösenord som anges i meddelandet är oläsligt för filtret. Det är en känd teknik för att undgå analys; den hanteras med en regel (karantän, varning) snarare än med innehållsanalys.
- Det nya skadliga dokumentet, utan känd signatur, kan passera antiviruset. De andra signalerna (avsändare, sammanhang, makron) tar då över, utan garanti.
- Det legitima komprometterade kontot som skickar en riktig, men farlig, faktura drar nytta av förtroendet för avsändaren.
- Länken som görs farlig i efterhand går igenom om ingen kontrollerar den igen vid klicket.
- Det interna meddelandet mellan två brevlådor i samma e-postsystem, som aldrig lämnar det, passerar inte en gateway framför systemet: det är e-postsystemets filter som ser det, eller ingen.
Karantänen finns för de tvivelaktiga fallen: meddelandet varken levereras eller går förlorat. Se Karantän, falska positiva och rapporter.
Vanliga frågor
Är en borttagen bilaga förlorad?
Meddelandet kommer fram med en notering som förklarar borttagningen. Om bilagan var legitim går administratören eller mottagaren via karantänen: se Karantän, falska positiva och rapporter.
Kan en PDF verkligen vara farlig?
Ja: den kan innehålla skript eller leda till en falsk inloggningssida. Därför granskas den som ett Office-dokument.
Varför blockeras i dag en länk som kontrollerades i går?
Sidan har ändrats sedan leveransen. Skyddet vid klick bedömer sidan i det ögonblick ni öppnar den.
Räcker en gateway mot ransomware?
Nej. Den minskar intrång via e-posten. Uppdateringar, fjärråtkomst och säkerhetskopiering gör resten. Se Skydda ett dokumenthanteringssystem mot ransomware och återställa det.
Var Klytic står
Fördelningen av Klytic MTA mellan de två paketen, så som den är publicerad:
| Analys | Essential | Advanced |
|---|
| Antivirus och krypterad karantän | Ja | Ja |
| Farliga Office-makron och PDF-filer | Ja | Ja |
| Skydd mot nätfiske, förfalskning av varumärken, QR-koder | Ja | Ja |
| Farliga bilagor tas bort, med ett informationsmeddelande | Ja | Ja |
| Säker släppning ur karantänen och aviseringar | Ja | Ja |
| Farliga HTML-filer och dold text i bilder | Nej | Ja |
| Länkar som analyseras på nytt vid klicket | Nej | Ja |
Klytic MTA fungerar framför vilket e-postsystem som helst, utan Klytic Mail. Den ersätter inte säkerhetskopieringen av era filer och brevlådor: hos Klytic är det tjänsternas egna säkerhetskopior, som beskrivs på sidan säkerhet och säkerhetskopiering.
Källor
Hämtade i oktober 2026.
- Cybermalveillance.gouv.fr, ”Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?”: definition, intrångsvägar (sårbarheter, fjärråtkomst, nätfiske, skadligt program), frånkopplade och testade säkerhetskopior, uppdateringar, inte betala. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, ”Que faire en cas de phishing ou hameçonnage ?”: kontrollera adressen i en länk och på webbplatsen innan man fyller i uppgifter. cybermalveillance.gouv.fr
- Klytic, sidan Klytic MTA: analys av bilagor och länkar i paketen Essential och Advanced, tillägg, driftformer, driftstart via MX. klytic.com
- ANSSI, ”Guide d’hygiène informatique”, version 2.0, september 2017, åtgärd 24 ”Protéger sa messagerie professionnelle”: ”E-posten är den främsta infektionsvägen till arbetsdatorn”. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, åtgärdskatalog, åtgärden ”Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage”: ”E-postsystemen är en av de främsta angreppsvägarna, eftersom de används mycket brett och är exponerade på internet”. monservicesecurise.cyber.gouv.fr
- ANSSI, ”Recommandations relatives à l’interconnexion d’un système d’information à Internet”, ANSSI-PA-066, version 3.0, 19 juni 2020, kapitel 5 ”Sécurisation du service de messagerie électronique”: e-posten ”har blivit en av de främsta vägarna för it-angrepp” (nätfiske, skadliga bilagor); avsnitt 5.2.3, mekanismer mot spam och för sökning efter skadligt innehåll ”ska införas”. messervices.cyber.gouv.fr
