Spam: volymen
Spam är oönskad e-post som skickas i stora mängder. Det är irriterande och tar tid, men söker sällan ett bestämt offer.
Vad som avslöjar det: ryktet hos servern eller domänen som skickar, en domän som skapades för några dagar sedan, reklaminnehåll som upprepas identiskt hos tusentals mottagare. Ett filter som bygger på rykte och innehåll stoppar det väl, och en riktad fördröjning av okända avsändare sorterar bort en del av de automatiserade utskicken.
Att skilja från: grå e-post. Ett nyhetsbrev som någon har prenumererat på, ett erbjudande från en känd leverantör är inte spam. Att sortera dem separat gör att brevlådan inte dränks, utan att ett väntat meddelande blockeras.
Nätfiske: trovärdigheten
Den franska nationella stödtjänsten för brottsoffer, cybermalveillance.gouv.fr, beskriver nätfiske som ett falskt meddelande som utger sig för att komma från en betrodd part (bank, myndighet, leverantör, socialt nätverk) för att stjäla inloggningsuppgifter, lösenord eller bankuppgifter. Vanliga former i företag:
- en falsk inloggningssida till e-posten eller fildelningen;
- ett känt varumärke som imiteras: fraktbolag, bank, programvaruleverantör;
- en QR-kod i en bild, som flyttar länken från datorn till telefonen;
- ett meddelande som uppmanar till att ringa ett falskt supportnummer.
Domänautentisering räcker inte här. En bedragare som köper en domän som liknar er kan konfigurera SPF, DKIM och DMARC helt korrekt för just den domänen: meddelandet är äkta… för en domän som inte är er. Det som avslöjar det är likheten med ett känt varumärke eller en känd domän, domänens ålder, länkarnas rykte, innehållet.
När nätfisket riktar sig mot en viss person för att få till stånd en betalning blir det vd-bedrägeri: se Identitetsförfalskning och vd-bedrägeri. Vad SPF, DKIM och DMARC verkligen stoppar beskrivs i SPF, DKIM och DMARC.
Skadlig kod: bilagan eller länken
Det skadliga programmet kommer i en bilaga eller bakom en länk: ett Office-dokument som ber om att aktivera makron, en manipulerad PDF, en HTML-fil som imiterar en inloggningssida, ett arkiv, en bild med en QR-kod. Själva meddelandet kan vara alldagligt (”er faktura”, ”delat dokument”).
Svaret gäller filen och länken: antivirus, granskning av makron och PDF-filer, avläsning av QR-koder, adressernas rykte, och sedan kontroll i samma ögonblick som användaren klickar. Guiden bilagor, länkar och ransomware beskriver vad som granskas och vad som förblir ett mänskligt beslut.
Komprometterat konto: den riktiga brevlådan
Här skickas meddelandet från en riktig brevlåda, en leverantörs, en kunds eller en kollegas, vars lösenord har stulits. SPF godkänns, DKIM-signaturen är giltig, avsändaren är känd. Ett filter som bara frågar ”är avsändaren okänd eller dåligt autentiserad?” ser ingenting.
Tecknen finns i beteendet:
- en vanlig kontakt som plötsligt skriver till ovanliga mottagare, eller till många;
- en ton, ett språk eller en tidpunkt som inte liknar personen;
- en ny typ av begäran: ändrade bankuppgifter, en oväntad delningslänk, ett dokument ”som måste signeras omedelbart”;
- ett svar som läggs in i en gammal konversationstråd, för att dra nytta av dess trovärdighet.
Två situationer ska hållas isär. När det är en tredje parts konto som skriver till er kan det inkommande filtret upptäcka avvikelsen. När det är ert eget konto är frågan i första hand ert e-postsystems: lösenord, tvåfaktorsautentisering, inloggningslarm, vidarebefordringsregler som angriparen har lagt till. Det är inte samma projekt som externt nätfiske, även om det ofta börjar med nätfiske.
Fyra hot, fyra svar
| Hot | Vad som avslöjar det | Huvudsakligt svar | Vad som inte räcker |
|---|
| Spam | Volym, rykte, nyligen skapad domän | Rykte och innehåll, riktad fördröjning | Att radera för hand |
| Nätfiske | Imiterat varumärke eller imiterad domän, tvivelaktig länk | Upptäckt av identitetsförfalskning, analys av länkar och QR-koder | SPF, DKIM och DMARC ensamma |
| Skadlig kod | Bilaga eller länk | Analys av filer, skydd vid klick | Ett ryktesbaserat spamfilter |
| Komprometterat konto | Ändrade vanor hos en känd avsändare | Upptäckt av avvikelser, sedan kontots säkerhet | En svartlista över avsändare |
Ett exempel, som illustration. Samma måndag får ett mindre företag en våg av reklam för skrivare, ett falskt leveransbesked med en QR-kod, en ”faktura” i HTML-format och ett meddelande från en vanlig kunds ekonomiansvarige som meddelar nya bankuppgifter. De tre första hör till filtret. Det fjärde kommer från en riktig brevlåda: filtret kan signalera avvikelsen, men det är ett samtal till kundens redan kända nummer som avgör.
Hur modern filtrering fungerar
Ett modernt filter fattar inte sitt beslut utifrån ett enda kriterium. Det beräknar en poäng utifrån flera signaler:
- avsändarens äkthet: SPF, DKIM, DMARC, serverns och domänens rykte, domänens ålder;
- meddelandet: länkar, text, kända bedrägerischeman, likhet med ett varumärke eller ett internt namn;
- bilagorna: antivirus, makron, PDF-filer, bilder;
- sammanhanget: samma meddelande skickat till många mottagare (en kampanj), eller en vanlig avsändare som ändrar beteende.
Poängen leder till ett graderat beslut: leverera, sätta i karantän, avvisa eller fördröja en okänd avsändare. Karantänen är lika viktig som avvisningen: ett legitimt meddelande som av misstag lagts åt sidan måste kunna hittas och släppas, se Karantän, falska positiva och rapporter.
Användarnas rapporter, ”det här är spam” eller ”det här är legitimt”, justerar sedan avsändarnas rykte. Ett filter som lär sig av sina misstag ger färre falska positiva.
Vanliga frågor
Varför får man fortfarande spam med ett bra filter?
Eftersom ett filter måste väga mellan att blockera för mycket och att släppa igenom. En inställning som inte släpper igenom någonting lägger också åt sidan väntade meddelanden.
Är ett meddelande som klarar DMARC säkert?
Nej. Det visar att den visade domänen har godkänt utskicket, inte att innehållet är ärligt. Se SPF, DKIM och DMARC.
Vad gör man med ett misstänkt meddelande som redan har kommit?
Klicka inte, svara inte, rapportera det till administratören i stället för att radera det. Cybermalveillance.gouv.fr rekommenderar också att man vid tvivel kontaktar organisationen på ett sätt man redan känner till.
En kollegas konto skickar konstiga meddelanden: vad gör man?
Kontakta e-postsystemets administratör, som byter lösenordet och kontrollerar tvåfaktorsautentiseringen och vidarebefordringsreglerna. Det är inte en filterinställning.
Var Klytic står
Klytic MTA analyserar varje meddelande i lager, före brevlådan, framför vilket e-postsystem som helst.
- Äkthet (Essential och Advanced): SPF, DKIM, DMARC även för vidarebefordrade meddelanden, servrarnas och domänernas rykte, domänernas ålder, riktad fördröjning av okända avsändare.
- Meddelande (Essential och Advanced): skydd mot nätfiske, förfalskning av varumärken, förväxlingsbara domäner och visningsnamn, QR-koder, upptäckt av kampanjer och av ovanligt beteende hos en avsändare, sortering av nyhetsbrev.
- Bilagor (Essential och Advanced): antivirus, Office-makron, PDF; farliga bilagor tas bort och ersätts med ett informationsmeddelande. Advanced lägger till manipulerade HTML-filer och dold text i bilder.
- Vid klicket (Advanced): länkarna analyseras på nytt när användaren klickar.
- Ekonomiska bedrägerier (Advanced): vd-bedrägeri, falska fakturor, falska betalningar och andra scenarier.
Användarnas rapporter matar en gemensam inlärning mellan instanserna, och meddelanden med tvetydig poäng avgörs av en AI-modell, i båda paketen. Vad modellen får förklaras i AI i e-postfiltreringen.
Begränsning: Klytic MTA ser den e-post som passerar genom den. Säkerheten för era egna konton (lösenord, tvåfaktorsautentisering, inloggningar) hör fortfarande till ert e-postsystem.
Källor
Hämtade i oktober 2026.
- Cybermalveillance.gouv.fr, ”Que faire en cas de phishing ou hameçonnage ?”: definition av nätfiske, förfalskning av en betrodd part, stöld av inloggningsuppgifter och bankuppgifter, råd om kontroll. cybermalveillance.gouv.fr
- RFC 7489, DMARC: mekanismen behandlar varken visuellt liknande domäner, missbruk av visningsnamnet eller innehållsanalys. rfc-editor.org
- Klytic, sidan Klytic MTA: analyslager och moduler i paketen Essential och Advanced, tillägg, driftformer, driftstart via MX. klytic.com
