VBSpam Q3 2026 osoittaa, miksi varmennettu sähköposti ei ole turvallisuustodistus

Sähköpostin tekninen varmennus ei tarkoita, että viesti olisi turvallinen. Virus Bulletin -julkaisun Q3 2026 VBSpam-vertailusta kertovan raportoinnin mukaan hyökkääjät yhdistivät näennäisesti luotettavan lähetysinfrastruktuurin monivaiheiseen, selaimen ominaisuuksia tarkkailevaan URL-peittelyyn. Tällöin haitallinen toiminta voi jäädä piiloon pelkältä lähettäjän tai alkuperäisen linkin tarkistukselta. Testi kesti 16 päivää, noudatti AMTSO-testisuunnitelmaa ja kattoi 103 969 sähköpostia, joista 103 380 oli roskapostia. 13

Varmennus kertoo lähetyspolusta – ei viestin vaarattomuudesta

SPF, DKIM ja DMARC ovat tärkeitä sähköpostin suojausmekanismeja. Ne auttavat varmistamaan lähetyspolkuun ja verkkotunnuksen kohdistukseen liittyviä asioita. Ne eivät kuitenkaan todista, että viestin sisältö olisi harmiton, kaikki linkit turvallisia tai että uudelleenohjausten jälkeen avautuva sivu olisi aito.

Raportoitujen kampanjoiden ydin oli juuri tässä: hyökkääjät hyödynsivät varmennettua tai luotettavan näköistä infrastruktuuria, mutta siirsivät varsinaisen haitallisen toiminnan verkkovirtaan. Kohdesivu saattoi tarkistaa esimerkiksi kävijän selainta, aikavyöhykettä, sijaintia tai vierailuajankohtaa ennen kuin se näytti todellisen määränpään. 35

Kolme esimerkkiä peitellyistä kalastelukampanjoista

1. Maksuviiveeseen vedonnut Amazon SES -kampanja

Saksankielisessä kampanjassa vedottiin erääntyneeseen maksuun. Viestit lähetettiin Amazon SES:n kautta DKIM-linjassa olevasta verkkotunnuksesta. Liitettä ei käytetty, vaan HTML-viestissä oli raportoinnin mukaan hämäysmerkintöjä, piilotettua tekstiä, nollakokoinen iframe-elementti ja obfuskoitua JavaScriptiä. 35

Linkin takana ollut verkkovirta arvioi kävijää: se keräsi selaimeen ja aikavyöhykkeeseen liittyviä tietoja, teki piilotetun POST-pyynnön ja ohjasi tietyt kävijät OpenSea-palveluun. Tämän on raportoitu sopivan peiteltyyn kryptovaluutta- tai NFT-huijaukseen. Samalla alkuperäisen viestin tai URL-osoitteen nopea tarkastus saattoi näyttää vähemmän epäilyttävältä kuin lopullinen toiminta oli. 35

2. McAfee- ja TotalAV-tilauksina esiintyneet huijaukset

Hollanninkielinen kampanja esiintyi McAfeena ja TotalAV:na. Vastaanottajalle väitettiin, että laitteessa on ”631 vaarallista virusta”, ja tarjottiin alennettua tilausten uusintaa. Houkutin perustui HTML-sisältöön ja sosiaaliseen manipulointiin, ei perinteiseen haitalliseen liitteeseen. 35

Kampanjan keskeinen väistökeino oli ehdollinen sisällönjakelu: määränpää saattoi muuttua ajan, sijainnin tai oletetun uhriprofiilin perusteella. Automaattinen tarkistus voi siis päätyä vaarattomalle sivulle, virhesivulle tai eri uudelleenohjausreittiä kuin kohdennettu vastaanottaja. Raportoitu tavoite oli tilaushuijaus. 35

3. BCR S.A.:na esiintynyt PSD2-suostumushuijaus

Romaniankielinen kalasteluviesti esiintyi BCR S.A.:na ja väitti, että PSD2-suostumus pitäisi uusia. PSD2 on EU:n maksupalveludirektiivi, johon liittyvät suostumuspyynnöt voivat näyttää vastaanottajasta uskottavilta. Raportoinnin mukaan määränpää oli peitetty IPv6-muotoisella osoitteella, mikä voi vaikeuttaa URL-osoitteiden jäsentämistä ja tarkistamista. 3

Pakolliseksi väitetty pankkisuostumuksen uusiminen luo kiireen tuntua tutussa asiointikehyksessä. Siksi se soveltuu erityisesti pankkitunnusten tai muiden kirjautumistietojen kalasteluun. 3

Miksi pelkkä staattinen tarkistus ei enää riitä

Esimerkit kuvaavat muutosta siinä, missä tietojenkalastelun varsinainen logiikka toimii. Ensimmäinen sähköposti voi tulla varmennetulta vaikuttavalta lähettäjältä, ja linkin tarkoitus voi jäädä aluksi epäselväksi. Ratkaiseva toiminta tapahtuukin vasta selaimessa:

• HTML ja JavaScript voivat hämärtää viestin alkuperäistä rakennetta.
• Uudelleenohjausketjut erottavat toimitetun URL-osoitteen lopullisesta kohdesivusta.
• Selaimen, aikavyöhykkeen, sijainnin ja ajankohdan tarkistuksilla voidaan erotella todennäköinen uhri automaattisesta analyysijärjestelmästä.
• Ehdolliset vastaukset voivat pitää haitallisimman sisällön poissa yksinkertaisista hiekkalaatikko- tai maineperusteisista tarkistuksista. 35

Johtopäätös ei ole, että sähköpostivarmennuksesta pitäisi luopua. SPF, DKIM ja DMARC ovat edelleen hyödyllisiä. Niitä on kuitenkin käsiteltävä yhtenä signaalina muiden joukossa: viestin sisältö, lähettäjän maine, linkkien käyttäytyminen ja lopullisen määränpään riski on arvioitava yhdessä. 35

Mitä sähköpostisuojauksessa kannattaa painottaa

Tehokkaampi työnkulku tarkistaa koko reitin eikä vain ensimmäistä näkyvää merkkiä:

1. Normalisoi peitetyt URL-osoitteet. Epätavalliset osoitemuodot pitää purkaa ja kanonisoida ennen maine- tai käytäntöarvioita.
2. Seuraa koko uudelleenohjausketju. Arvioi jokainen välivaihe ja lopullinen kohdesivu, ei vain viestissä ollutta alkuperäistä linkkiä.
3. Analysoi selaimessa tapahtuva toiminta. Etsi ehdollisia uudelleenohjauksia, selaimen profilointia, piilotettuja pyyntöjä ja muuta koodin suorittamisen jälkeen ilmenevää käyttäytymistä.
4. Pidä varmennus oikeassa asiayhteydessä. SPF-, DKIM- ja DMARC-tulosten ei pidä ohittaa haitalliseen sisältöön tai määränpäähän viittaavia merkkejä.
5. Mittaa myös vääriä positiivisia. Suojaus, joka estää uhat mutta katkaisee suuren määrän aitoa sähköpostia, synnyttää toisenlaisen operatiivisen riskin. 35

Testituloksissa suuri ero tuotteiden välillä

Raportoiduissa kokonaispisteissä parhaat tuotteet ylsivät lähes täydelliseen tunnistukseen, mutta tulokset eivät olleet tasaisia. Net at Work NoSpamProxy sai 99,995 pistettä ilman vääriä positiivisia. Bitdefender GravityZone Premium sai 99,994 pistettä ja SEPPmail.cloudfilter 99,985 pistettä. Rspamd sai raportin mukaan 62,5 %. 35

Luvut kuvaavat juuri tämän vertailutestin tuloksia, eivät yleispätevää lupausta yksittäisen organisaation ympäristössä. Ero kuitenkin vahvistaa käytännön opetuksen: varmennetuilta näyttävien lähettäjien, peitettyjen URL-osoitteiden ja ehdollisten selainvirtojen käsittely vaatii kerroksittaista tarkastusta – yhden suojauskeinon varaan ei kannata rakentaa. 135

Ydinviesti

Q3 2026 VBSpam -vertailusta kertova raportointi havainnollistaa tietojenkalastelumallia, jossa sähköposti voi näyttää toimitushetkellä hyväksyttävältä ja huijaus paljastuu vasta, kun vastaanottajan selain täyttää hyökkääjän määrittelemät ehdot. Lähettäjän varmennus on tarpeellinen osa sähköpostihygieniaa, mutta turvallisuuspäätöksen on ulotuttava koko uudelleenohjausketjuun ja lopulliseen verkkokokemukseen asti. 35