VBSpam Q3 2026: tietojenkalastelu kiertää pelkän sähköpostisuojauksen

Tietojenkalasteluviestissä ei enää tarvita haitallista liitettä tai ilmiselvästi epäilyttävää lähettäjää, jotta se olisi vaarallinen. Virus Bulletin -järjestön VBSpam Q3 2026 -vertailutesti nosti esiin kampanjoita, joissa käytettiin uskottavaa lähetysinfrastruktuuria ja harmittoman näköisiä HTML-viestejä. Varsinainen petos siirrettiin sen sijaan uudelleenohjausketjuihin ja selaimessa ajettavaan koodiin. Yrityskäyttöön tarkoitetut kärkituotteet suoriutuivat testissä vahvasti, mutta tulos havainnollistaa, miksi sähköpostiyhdyskäytävä ei voi olla tietojenkalastelun ainoa torjuntakeino. 2021

Sähköposti on vain hyökkäyksen ensimmäinen vaihe

Julkinen Q3-testi kesti 16 päivää. Siinä arvioitiin 11:tä julkisesti testattua sähköpostiturvatuotetta 103 969 viestiä käsittäneellä aineistolla, josta 103 380 oli roskapostia. Testiä käsitelleiden raporttien mukaan johtavat yritystason yhdyskäytävät tunnistivat tietojenkalastelua lähes 100-prosenttisesti. Net at Work NoSpamProxy oli raportoidusti paras: lopputulos oli 99,995, haittaohjelmien tunnistus 100 %, tietojenkalastelun tunnistus 99,990 % eikä vääriä positiivisia havaittu. 2021

Tämä ei tarkoita, että yritysten sähköpostisuodatus olisi lakannut toimimasta. Se kertoo siitä, että hyökkääjät muuttavat jakelutapojaan. Sen sijaan, että viestiin sijoitettaisiin suoraan selvästi haitallinen sisältö, voidaan käyttää liitteetöntä viestiä, uskottavalta näyttävää lähetysreittiä ja URL-osoitetta, jonka toiminta muuttuu vasta vastaanottajan klikattua sitä.

VBSpam on yrityksille suunnattujen sähköpostiturvaratkaisujen vertailuohjelma. Se mittaa suojaa roskapostia, tietojenkalastelua ja haittaohjelmia vastaan sekä huomioi myös virheelliset luokitukset. Testauksessa arvioidaan ajankohtaisia, eläviä sähköpostiuhkia eikä pelkästään vanhoista näytteistä koottua arkistoa. 61213

Kolme kampanjaa, jotka kuvaavat muutosta

Saksankielinen maksumuistutus Amazon SES:n kautta

Saksankielinen Mahnschreiben- eli maksumuistutuskampanja käytti raportin mukaan Amazon SES:ää ja DKIM-kohdistettua moolaah[.]com-verkkotunnusta. Viestissä ei ollut liitettä. Linkki vei ensin sivulle, joka oli rakennettu näyttämään automaattisessa tarkastuksessa vähemmän epäilyttävältä: sivulla oli harhauttavaa merkintäkieltä, piilotettua tekstiä, nollakokoinen iframe-kehys ja hämärrettyä JavaScript-koodia.

Sivun kerrottiin keräävän tietoja selaimesta ja aikavyöhykkeestä, minkä jälkeen se ohjasi kävijän piilotetulla POST-pyynnöllä osoitteeseen opensea[.]io. Arvio oli peitelty kryptovaluutta- tai NFT-petoksen reitti, ei vahvistettu haittaohjelman jakelu. Ero on olennainen: huijauksen logiikka voidaan tarkoituksella pitää piilossa, ellei kävijä vaikuta oikealta ja hyökkääjän kannalta sopivasti profiloidulta kohteelta. 20

Hollanninkielinen virustorjunnan uusimishuijaus vaihtuvilla kohteilla

McAfeeta ja TotalAV:tä jäljitellyt hollanninkielinen viesti käytti HTML-muotoista uusimistarjousta. Viestissä väitettiin vastaanottajan laitteella olevan ”631 vaarallista virusta”, uhattiin tilin sulkemisella ja tarjottiin 90 prosentin alennusta.

Kampanja ei tukeutunut yhteen pysyvään kalastelusivuun. Sen seuranta-, peruutus- ja toimintakehotuslinkit kulkivat erillisten uudelleenohjausreittien kautta. Tällaiset reitit voivat vaihtaa kohdetta, vanhentua tai tarjota erilaista sisältöä ajan tai sijainnin perusteella. Siksi yhdyskäytävän kertaluonteinen URL-tarkistus on vähemmän luotettava kuin tarkastus, joka tehdään käyttäjän klikkaushetkellä. Arvioitu tavoite oli uusimis- tai kumppanuushuijaus ja mahdollinen maksutietojen anastus, ei vahvistettu haittaohjelmalataus. 20

Romanialainen BCR:n PSD2-suostumukseen vetoava huijaus

Kolmas kampanja esiintyi BCR S.A.:na ja käytti kiireen luomiseen PSD2-suostumuksen teemaa. PSD2 on EU:n maksupalveludirektiivi, joten suostumuspyyntö voi näyttää vastaanottajasta uskottavalta. Kohdeosoite oli raportin mukaan koodattu IPv6-muotoon muunnetulla osoite-esityksellä. Tämä hämärystapa voi ohittaa yksinkertaisen URL-jäsennyksen tai maineeseen perustuvat tarkistukset. Kampanjan arvioitiin tähtäävän käyttäjätunnusten anastamiseen, mutta käytettävissä oleva raportointi ei vahvista lopullista laskeutumissivua eikä tarkempaa tekijäattribuutiota. 20

Mitä tunnistusluvut kertovat – ja mitä eivät

Q3-raportointi viittaa merkittävään eroon parhaiden yritysyhdyskäytävien ja julkisesti testatun avoimen lähdekoodin Rspamd-asennuksen välillä. Yhden raportin mukaan Rspamd tunnisti tietojenkalasteluviesteistä 62,550 %, mikä jäi selvästi yritystuotteiden kärkitasosta. 21

Lukua ei pidä yleistää kaikkiin Rspamd-asennuksiin eikä avoimeen lähdekoodiin tuoteryhmänä. Käytännön suorituskykyyn vaikuttavat muun muassa asetukset, uhkatietosyötteet, viritys ja ympäröivät turvakontrollit. Se kuitenkin korostaa käytännön ongelmaa: nopeasti muuttuvaa uudelleenohjausinfrastruktuuria ja selaintietoisia kalasteluketjuja voi olla vaikea luokitella pelkän sähköpostikerroksen tai suppeasti määritetyn ratkaisun avulla.

Vertailun vuoksi Virus Bulletin raportoi erillisessä Q2 2026 -katsauksessaan Rspamdin tietojenkalastelun tunnistusasteeksi 54,810 %. Koska kyse on eri testijaksosta, prosentteja ei pidä käsitellä yhtenä suorana vertailulukuna. 5

Puolustuksen painopiste: toimitushetkestä klikkaushetkeen

Testin hyödyllisin operatiivinen opetus on, että tarkastusta on laajennettava viestin toimitushetkestä klikkaushetkeen.

• Pidä autentikointia identiteettisignaalina, ei turvallisuustakeena. SPF- tai DKIM-kohdistus ja tunnettu lähetyspalvelu kertovat osaltaan siitä, miten viesti lähetettiin. Ne eivät todista, että viestin kaupallinen väite tai kohdeosoite olisi aito.
• Seuraa uudelleenohjausketjut kokonaan. Tarkasta jokainen välivaihe ja arvioi URL-osoite uudelleen, kun käyttäjä klikkaa linkkiä. Kohde ja sen maine voivat muuttua alkuperäisen toimituksen jälkeen.
• Käytä selainta jäljittelevää analyysiä. Tehokkaan tarkastuksen on kyettävä suorittamaan JavaScriptiä ja tunnistamaan piilotetut lomakkeet, iframe-toiminta, selaimen profilointi sekä ehdolliset uudelleenohjaukset – ei vain skannaamaan viestin sisältöä tai näkyvää URL-osoitetta.
• Normalisoi poikkeavat URL-muodot. Turvakontrollien on osattava jäsentää turvallisesti koodatut osoitteet ja IPv6-muotoon muunnetut esitykset ennen maine- ja estolistatarkistuksia.
• Seuraa infrastruktuurin muutoksia. Tarkkaile DNS-muutoksia, uusia verkkotunnuksia, HTTP-uudelleenohjauksia ja kohteiden maineen muuttumista ajan kuluessa.
• Pienennä onnistuneen klikkauksen seurauksia. Kalastelunkestävä tunnistautuminen ja päätelaitesuojaus voivat rajoittaa tilikaappausta, vaikka tunnuksia keräävä sivu päätyisi vastaanottajalle.

Myös käyttäjä on tärkeä viimeinen suojakerros. Maksuvaatimukset, pankkisuostumuksiin liittyvät pyynnöt ja tilauksen uusimisvaroitukset kannattaa varmistaa organisaation tunnetun verkkosivuston, sovelluksen tai asiakaspalvelukanavan kautta – ei viestissä olevan linkin kautta.

Ydinviesti

VBSpam Q3 2026 ei osoittanut, että tavanomainen sähköpostiturva olisi laajasti pettänyt. Kärkituotteet saavuttivat edelleen poikkeuksellisen vahvoja tuloksia. 2021 Testi osoitti tarkemmin sen, että tietojenkalastelijat siirtävät petoksen ratkaisevimmat vaiheet yksilöllisiin, selaimessa tapahtuviin vaiheisiin, joita perinteinen yhdyskäytävä ei välttämättä näe kokonaan viestin toimitushetkellä.

Kestävä vastaus on kerroksellinen puolustus: vahva sähköpostisuodatus yhdistettynä uudelleenohjausten analyysiin, selaintietoiseen tarkastukseen ja tilisuojauksiin, jotka tekevät varastetusta salasanasta mahdollisimman vähän hyödyllisen.