VBSpam Q3 2026: Ověřený e-mail už není důkaz bezpečnosti

Technicky ověřený e-mail není automaticky bezpečný. Reporty o srovnávacím testu VBSpam za 3. čtvrtletí 2026 popisují phishingové kampaně, které spojily důvěryhodně působící odesílací infrastrukturu s vícestupňovým maskováním URL adres. Škodlivý obsah se pak mohl projevit až po otevření odkazu v prohlížeči — tedy mimo dosah jednoduché kontroly odesílatele nebo statické analýzy odkazu.

Test trval 16 dní, řídil se testovacím plánem AMTSO a zahrnoval 103 969 e-mailů, z nichž 103 380 tvořil spam. 13

SPF, DKIM a DMARC neověřují bezpečnost obsahu

SPF, DKIM a DMARC ověřují určité aspekty cesty, kterou e-mail dorazil, a sladění domény odesílatele. Neříkají ale, zda je text zprávy neškodný, zda je odkaz bezpečný ani zda legitimně vypadá konečná stránka po sérii přesměrování.

Právě na této mezeře stavěly popsané kampaně. Útočníci použili ověřenou nebo důvěryhodně vypadající infrastrukturu, ale škodlivou fázi odložili do webového toku, který mohl vyhodnocovat prohlížeč návštěvníka, časové pásmo, lokalitu nebo okamžik návštěvy. 35

Tři techniky, které reporty vyzdvihují

1. Upomínka platby doručená přes Amazon SES

Jedna německy psaná kampaň používala motiv nezaplacené platby. Byla odeslána přes Amazon SES z domény sladěné s DKIM. Namísto přílohy obsahoval HTML e-mail podle reportingu návnadový kód, skrytý text, iframe s nulovou velikostí a obfuskovaný JavaScript. 35

Odkaz pak vyhodnocoval návštěvníka: získával informace o prohlížeči a časovém pásmu, provedl skrytý požadavek POST a vhodné návštěvníky přesměroval na OpenSea. Popsaný postup odpovídal maskovanému podvodu s kryptoměnami či NFT a ztěžoval odhalení při běžné kontrole zprávy nebo prvního odkazu. 35

2. Falešné prodloužení McAfee a TotalAV

Nizozemsky psaná kampaň se vydávala za McAfee a TotalAV. Příjemce varovala před „631 nebezpečnými viry“ a nabízela zlevněné prodloužení předplatného. Šlo o sociální inženýrství výhradně v HTML, nikoli o klasickou škodlivou přílohu. 35

Zásadní únikovou technikou bylo podmíněné doručení cíle: výsledná stránka se mohla měnit podle času, místa nebo zdánlivého profilu oběti. Automatizovaný skener tak mohl dostat neškodnou stránku, chybu nebo jinou trasu přesměrování než zamýšlený příjemce. Cílem měl být podvod s předplatným. 35

3. Vydávání se za BCR S.A. a souhlas PSD2

Rumunsky psaný phishing se vydával za BCR S.A. a tvrdil, že je nutné obnovit souhlas podle PSD2 — evropských pravidel pro platební služby. Podle reportingu byla cílová adresa ukryta pomocí IPv6-mapped adresy, tedy techniky, která může komplikovat parsování URL i analýzu skenery. 3

Motiv povinné obnovy bankovního souhlasu vytváří tlak na rychlou reakci ve zdánlivě známém finančním procesu, a je proto vhodný pro krádež přihlašovacích údajů. 3

Proč přestává stačit statická kontrola

Tyto příklady ukazují posun: rozhodující phishingová logika nemusí být přímo v e-mailu. Zpráva může projít ověřením odesílatele a odkaz nemusí na první pohled prozradit svůj účel. Klíčové chování se odehraje až v prohlížeči:

• HTML a JavaScript maskují skutečnou strukturu zprávy;
• řetězce přesměrování oddělují doručený odkaz od cílové stránky;
• kontrola prohlížeče, časového pásma, lokality či času pomáhá rozlišit oběť od automatizovaného systému;
• podmíněné reakce mohou skrýt škodlivý obsah před běžným sandboxem nebo reputační kontrolou. 35

Závěr pro správce zabezpečení není zahodit e-mailové ověřování. SPF, DKIM a DMARC zůstávají důležitou součástí hygieny e-mailové infrastruktury — musí však být jen jedním ze signálů vedle analýzy obsahu, reputace odesílatele, chování odkazu a rizika cílové stránky. 35

Co by měla e-mailová ochrana kontrolovat

1. Normalizovat obfuskované URL adresy. Neobvyklé zápisy adres je potřeba dekódovat a převést na standardní podobu ještě před reputačními a bezpečnostními kontrolami.
2. Sledovat celý řetězec přesměrování. Nestačí vyhodnotit původní odkaz; je nutné analyzovat každý krok i finální cíl.
3. Analyzovat chování v prohlížeči. Odhalovat podmíněná přesměrování, fingerprinting, skryté požadavky a další chování, které se ukáže až po spuštění stránky.
4. Posuzovat autentizaci v souvislostech. SPF, DKIM a DMARC mohou důvěru podpořit, ale nemají přebít signály škodlivého obsahu nebo rizikové cílové destinace.
5. Měřit i falešné poplachy. Řešení, které sice blokuje hrozby, ale současně zadržuje legitimní poštu, vytváří jiný provozní problém. 35

Výsledky produktů se výrazně lišily

Podle reportovaných složených výsledků dosáhly nejlepší produkty téměř stoprocentní celkové úspěšnosti, mezi řešeními ale byly velké rozdíly. Net at Work NoSpamProxy získal skóre 99,995 bez falešných poplachů, Bitdefender GravityZone Premium 99,994 a SEPPmail.cloudfilter 99,985. U Rspamdu bylo uvedeno 62,5 %. 35

Jde o výsledky konkrétního srovnávacího testu, nikoli o univerzální garanci pro každé prostředí. Rozdíl ale podtrhuje praktický závěr: obrana proti ověřeným odesílatelům, obfuskovaným URL a podmíněným tokům v prohlížeči vyžaduje vrstvenou kontrolu, ne spoléhání na jediný mechanismus. 135

Shrnutí

Phishing se může při doručení tvářit zcela přijatelně a podvod odhalit teprve tehdy, když prohlížeč oběti splní útočníkem nastavené podmínky. Ověření odesílatele proto není potvrzením bezpečnosti — bezpečnostní kontrola musí sahat až k celé trase přesměrování a výsledné webové stránce. 35