VBSpam Q3 2026 ukazuje, jak phishing obchází čistě e-mailovou obranu

Phishingový e-mail už nemusí obsahovat škodlivou přílohu ani přicházet z očividně podezřelé adresy. Srovnávací test VBSpam za 3. čtvrtletí 2026 upozornil na kampaně, které využívaly věrohodnou doručovací infrastrukturu a nenápadné HTML zprávy. Rozhodující část podvodu pak přesunuly do řetězců přesměrování a kódu spuštěného v prohlížeči. Nejlepší podnikové produkty si vedly velmi dobře, test ale ukazuje, proč e-mailová brána nemůže být jedinou ochranou proti phishingu. 2021

E-mail je jen první fáze útoku

Veřejný test trval 16 dní a porovnával 11 veřejně testovaných produktů pro e-mailovou bezpečnost na 103 969 zprávách, z nichž 103 380 tvořil spam. Zprávy o testu uvádějí, že přední podnikové e-mailové brány dosahovaly záchytu phishingu blízkého 100 %. Nejvyšší konečné skóre 99,995 získal údajně Net at Work NoSpamProxy: 100% záchyt malwaru, 99,990% záchyt phishingu a žádné falešné poplachy. 2021

Neznamená to, že by podnikové filtrování přestalo fungovat. Naopak: ukazuje to, že útočníci přizpůsobují způsob doručení. Místo aby do e-mailu vložili zjevně škodlivý obsah, mohou použít zprávu bez přílohy, důvěryhodně působící trasu odeslání a odkaz, který své chování změní teprve po kliknutí příjemce.

VBSpam je srovnávací program zaměřený na podniková řešení e-mailové bezpečnosti. Měří ochranu před spamem, phishingem a malwarem a zohledňuje také falešně pozitivní detekce. Testování pracuje s aktuálními hrozbami zachycenými v reálném provozu, nikoli jen se statickým archivem starých vzorků. 61213

Tři kampaně, které ilustrují posun

Německá výzva k úhradě vedená přes Amazon SES

Jedna německy psaná kampaň s údajnou upomínkou — „Mahnschreiben“ — podle dostupného popisu využila službu Amazon SES a doménu moolaah[.]com se zarovnaným DKIM. Zpráva neměla přílohu. Odkaz nejprve vedl na stránku vytvořenou tak, aby při automatické kontrole působila méně podezřele: obsahovala návnadový kód, skrytý text, iframe o nulové velikosti a obfuskovaný JavaScript.

Stránka měla shromažďovat údaje o prohlížeči a časovém pásmu. Následně návštěvníka pomocí skrytého požadavku POST přesměrovala na opensea[.]io. Hodnocení kampaně mluvilo o maskované trase ke kryptoměnovému nebo NFT podvodu, nikoli o potvrzeném šíření malwaru. To je podstatný rozdíl: podvodná logika může být záměrně skryta, dokud návštěvník nevypadá jako skutečný a vhodně vytipovaný cíl. 20

Nizozemský podvod s prodloužením antiviru a proměnlivým cílem

Nizozemský e-mail vydávající se za McAfee a TotalAV používal HTML sdělení o prodloužení předplatného. Tvrdil, že příjemce má „631 nebezpečných virů“, hrozil zrušením účtu a nabízel slevu 90 %.

Kampaň nespoléhala na jednu pevnou phishingovou stránku. Pro sledování, odhlášení odběru i hlavní výzvu k akci používala oddělené cesty přes infrastrukturu přesměrování. Cíl takových cest se může měnit, vypršet nebo vracet jiný obsah podle času či lokality. Jednorázová kontrola URL při průchodu e-mailovou branou je proto méně spolehlivá než analýza provedená ve chvíli, kdy uživatel na odkaz skutečně klikne. Cílem podle hodnocení byl podvod s prodloužením či provizním prodejem a možné odcizení platebních údajů, nikoli potvrzené stažení malwaru. 20

Rumunská záminka se souhlasem PSD2 jménem BCR

Další kampaň se vydávala za BCR S.A. a pracovala s tématem souhlasu podle PSD2, evropských pravidel pro platební služby. Naléhavost měla oběť přimět k rychlé reakci. Cílovou adresu údajně kódovala pomocí zápisu IPv6-mapped address — techniky, která může obejít zjednodušené zpracování URL nebo reputační kontroly. Kampaň byla vyhodnocena jako pravděpodobná krádež přihlašovacích údajů; dostupné podklady ale nepotvrzují konečnou cílovou stránku ani přesnější připsání útoku konkrétnímu aktérovi. 20

Co výsledky detekce říkají — a co neříkají

Zprávy k testu naznačují výrazný rozdíl mezi nejlepšími podnikovými branami a veřejně testovaným nasazením open-source řešení Rspamd. Jeden z reportů uvádí pro Rspamd záchyt phishingu 62,550 %, tedy výrazně méně než u vedoucích podnikových produktů. 21

Toto číslo nelze vztáhnout na každou instalaci Rspamdu ani na open-source nástroje jako celek. Reálné výsledky ovlivňuje konfigurace, používané zdroje informací o hrozbách, ladění i další vrstvy ochrany. Přesto jde o praktické upozornění: rychle se měnící infrastruktura přesměrování a phishingové toky reagující na prohlížeč mohou být pro výchozí nebo úzce nastavenou e-mailovou vrstvu obtížně rozpoznatelné.

Pro srovnání, samostatná recenze Virus Bulletin za 2. čtvrtletí 2026 uvedla u Rspamdu 54,810% záchyt phishingu a rovněž konstatovala, že v této oblasti zaostával za vedoucími produkty. Jde o jiné testovací období, proto nelze obě procenta považovat za jeden zaměnitelný benchmark. 5

Obrana musí pokračovat i po doručení zprávy

Nejužitečnější provozní poučení z testu je rozšířit analýzu z okamžiku doručení také na okamžik kliknutí.

• Autentizaci berte jako signál identity, ne jako potvrzení bezpečnosti. Zarovnání SPF či DKIM a známá doručovací služba pomáhají určit, jak byla zpráva odeslána. Nedokazují však, že obchodní tvrzení nebo cíl odkazu jsou legitimní.
• Sledujte celý řetězec přesměrování. Kontrolujte každý krok a URL vyhodnocujte znovu při kliknutí uživatele — destinace i reputace se mohou po doručení změnit.
• Používejte sandbox schopný pracovat s prohlížečem. Účinná analýza musí spustit JavaScript a odhalit skryté formuláře, aktivitu iframe, fingerprinting i podmíněná přesměrování; nestačí jen skenovat tělo e-mailu nebo viditelnou URL.
• Normalizujte neobvyklé formy URL. Bezpečnostní nástroje by měly bezpečně zpracovat kódované adresy i IPv6-mapped zápisy ještě před použitím reputačních a blokovacích pravidel.
• Sledujte změny infrastruktury. Důležité jsou změny DNS, nové domény, HTTP přesměrování i vývoj reputace cílových adres v čase.
• Snižujte dopad úspěšného kliknutí. Přihlašování odolné vůči phishingu a ochrana koncových zařízení mohou omezit převzetí účtu, i když se stránka pro odcizení přihlašovacích údajů k uživateli dostane.

Důležitou poslední vrstvou zůstává i uživatel. Výzvy k platbě, žádosti o bankovní souhlas nebo varování před koncem předplatného je vhodné ověřovat přes známý web organizace, její aplikaci nebo oficiální podporu — ne přes odkaz v doručené zprávě.

Závěr

VBSpam Q3 2026 neukazuje, že by běžná e-mailová bezpečnost plošně selhala. Nejlepší podnikové produkty dál dosahovaly mimořádně silných výsledků. 2021 Ukazuje ale konkrétní posun: provozovatelé phishingu přesouvají nejvíce klamavou část útoku do personalizovaných fází zprostředkovaných prohlížečem, které běžná brána při doručení zprávy nemusí plně vidět.

Odolná odpověď je vrstvená ochrana: kvalitní filtrování e-mailu doplněné o analýzu přesměrování, kontrolu chování v prohlížeči a ochranu účtů, která ze získaného hesla neudělá automaticky klíč k účtu.