VBSpam Q3 2026: ऑथेंटिकेटेड ईमेल भी सुरक्षित होने का प्रमाण नहीं

ईमेल पर SPF, DKIM या DMARC का पास होना उपयोगी सुरक्षा संकेत है, लेकिन यह ईमेल के सुरक्षित होने की गारंटी नहीं है। Virus Bulletin के Q3 2026 VBSpam तुलनात्मक परीक्षण पर आई रिपोर्टिंग बताती है कि हमलावर वैध या भरोसेमंद दिखने वाले ईमेल इन्फ्रास्ट्रक्चर का इस्तेमाल कर रहे हैं, जबकि असली धोखाधड़ी को कई रीडायरेक्ट और ब्राउज़र में चलने वाली शर्तों के पीछे छिपा देते हैं। परीक्षण 16 दिनों तक चला और इसमें 103,969 ईमेल शामिल थे, जिनमें 103,380 स्पैम संदेश थे। 13

असली समस्या: प्रमाणीकरण सही हो सकता है, लेकिन ईमेल फिर भी फिशिंग हो सकता है

SPF, DKIM और DMARC ईमेल के भेजने के रास्ते और डोमेन-अलाइनमेंट के कुछ पहलुओं की पुष्टि करते हैं। वे यह साबित नहीं करते कि संदेश का कंटेंट सुरक्षित है, उसमें दिया गया हर लिंक भरोसेमंद है, या रीडायरेक्ट के बाद खुलने वाला अंतिम वेबपेज असली है।

रिपोर्ट किए गए अभियानों में हमलावरों ने ऑथेंटिकेटेड या भरोसेमंद दिखते इन्फ्रास्ट्रक्चर का उपयोग किया। नुकसान पहुंचाने वाली गतिविधि बाद के वेब फ्लो में रखी गई, जो विज़िटर के ब्राउज़र, टाइमज़ोन, स्थान या समय को जांचकर अलग-अलग प्रतिक्रिया दे सकता था। 35

परीक्षण रिपोर्टिंग में सामने आए तीन फिशिंग तरीके

1. Amazon SES से भेजा गया बकाया भुगतान का झांसा

जर्मन भाषा के एक अभियान में बकाया भुगतान का विषय इस्तेमाल हुआ। रिपोर्ट के अनुसार, यह Amazon SES के जरिए ऐसे डोमेन से भेजा गया था जो DKIM से अलाइन्ड था। इसमें कोई अटैचमेंट नहीं था; HTML ईमेल में भ्रामक मार्कअप, छिपा हुआ टेक्स्ट, शून्य आकार का iframe और ऑबफस्केटेड JavaScript शामिल थे। 35

लिंक खोलने पर फ्लो विज़िटर के ब्राउज़र और टाइमज़ोन की जानकारी फिंगरप्रिंट करता था, एक छिपा POST अनुरोध भेजता था और तय शर्तें पूरी करने वाले विज़िटरों को OpenSea पर रीडायरेक्ट करता था। रिपोर्टिंग में इसे छिपे हुए क्रिप्टोकरेंसी या NFT धोखाधड़ी के अनुरूप बताया गया—ऐसी तकनीक, जिसमें शुरुआती ईमेल या URL की साधारण जांच से जोखिम साफ नहीं दिखता। 35

2. McAfee और TotalAV के नाम पर फर्जी सब्सक्रिप्शन रिन्यूअल

डच भाषा के एक अभियान ने McAfee और TotalAV का रूप धरा। प्राप्तकर्ताओं को “631 dangerous viruses” की चेतावनी देकर रियायती कीमत पर सब्सक्रिप्शन रिन्यू करने का प्रस्ताव दिया गया। इसमें पारंपरिक दुर्भावनापूर्ण अटैचमेंट की जगह केवल HTML आधारित सोशल इंजीनियरिंग का इस्तेमाल हुआ। 35

इसकी खास बचाव तकनीक सशर्त डिलीवरी थी: गंतव्य पेज समय, स्थान या संभावित पीड़ित की प्रोफाइल के आधार पर बदल सकता था। इसलिए किसी स्वचालित स्कैनर को सुरक्षित पेज, त्रुटि संदेश या असली लक्ष्य से अलग रीडायरेक्ट पथ मिल सकता है। रिपोर्टेड उद्देश्य सब्सक्रिप्शन धोखाधड़ी था। 35

3. BCR S.A. के नाम पर PSD2 सहमति नवीनीकरण का फर्जी संदेश

रोमानियाई भाषा के एक फिशिंग ईमेल ने BCR S.A. का प्रतिरूपण किया और दावा किया कि PSD2 सहमति का नवीनीकरण अनिवार्य है। PSD2 यूरोपीय भुगतान सेवाओं से जुड़ा नियम-ढांचा है; इसलिए ऐसा संदेश बैंकिंग प्रक्रिया जैसा परिचित लग सकता है। रिपोर्टिंग के अनुसार, अभियान ने गंतव्य छिपाने के लिए IPv6-mapped पते का इस्तेमाल किया, जो URL पार्सिंग और स्कैनर विश्लेषण को जटिल बना सकता है। 3

बैंकिंग सहमति तुरंत नवीनीकृत करने का दबाव क्रेडेंशियल चोरी के लिए असरदार लालच हो सकता है, क्योंकि इससे प्राप्तकर्ता को जल्द कार्रवाई करने के लिए उकसाया जाता है। 3

केवल स्टैटिक स्कैनिंग पर दबाव क्यों बढ़ रहा है

इन उदाहरणों से संकेत मिलता है कि फिशिंग की निर्णायक गतिविधि अब शुरुआती ईमेल में नहीं, बल्कि बाद में ब्राउज़र के भीतर होती है:

• HTML और JavaScript शुरुआती संदेश की संरचना को अस्पष्ट बना सकते हैं।
• रीडायरेक्ट चेन भेजे गए URL और अंतिम गंतव्य को अलग कर देती है।
• ब्राउज़र, टाइमज़ोन, स्थान और समय की जांच से हमलावर स्वचालित सिस्टम और संभावित लक्ष्य में फर्क कर सकते हैं।
• सशर्त प्रतिक्रियाएं सबसे खतरनाक कंटेंट को साधारण सैंडबॉक्सिंग या रेप्युटेशन जांच से दूर रख सकती हैं। 35

इसका अर्थ ईमेल प्रमाणीकरण को छोड़ देना नहीं है। सही निष्कर्ष यह है कि प्रमाणीकरण को कंटेंट, प्रेषक की प्रतिष्ठा, लिंक के व्यवहार और अंतिम गंतव्य के जोखिम जैसे अन्य संकेतों के साथ देखना चाहिए। 35

बचाव के लिए प्राथमिकताएं

मजबूत ईमेल सुरक्षा में केवल पहला संकेत नहीं, बल्कि पूरा रास्ता जांचना जरूरी है:

1. ऑबफस्केटेड URL को सामान्य रूप में बदलें। असामान्य एड्रेस फॉर्मेट को डिकोड और कैनॉनिकलाइज़ करने के बाद रेप्युटेशन या नीति जांच लागू करें।
2. पूरी रीडायरेक्ट चेन ट्रेस करें। केवल मूल लिंक नहीं, हर चरण और अंतिम लैंडिंग पेज का मूल्यांकन करें।
3. ब्राउज़र-साइड व्यवहार का विश्लेषण करें। सशर्त रीडायरेक्ट, फिंगरप्रिंटिंग, छिपे अनुरोध और पेज चलने के बाद दिखने वाली गतिविधियों को पकड़ें।
4. ऑथेंटिकेशन को संदर्भ में रखें। SPF, DKIM और DMARC भरोसे के फैसले में मदद करते हैं, लेकिन उन्हें दुर्भावनापूर्ण कंटेंट या गंतव्य के संकेतों पर हावी नहीं होना चाहिए।
5. डिटेक्शन के साथ फॉल्स पॉजिटिव भी मापें। ऐसा फिल्टर जो खतरे रोकता तो है, लेकिन वैध ईमेल भी रोक देता है, वह अलग तरह का संचालनात्मक जोखिम पैदा करता है। 35

उत्पाद नतीजों में उल्लेखनीय अंतर

रिपोर्ट किए गए संयुक्त नतीजे बताते हैं कि शीर्ष उत्पादों में बहुत ऊंची समग्र डिटेक्शन संभव थी, लेकिन प्रदर्शन एक जैसा नहीं था। Net at Work NoSpamProxy ने शून्य फॉल्स पॉजिटिव के साथ 99.995 का अंतिम स्कोर दर्ज किया। Bitdefender GravityZone Premium का स्कोर 99.994 और SEPPmail.cloudfilter का 99.985 बताया गया, जबकि Rspamd 62.5% पर रहा। 35

इन आंकड़ों को इसी खास तुलनात्मक परीक्षण के नतीजे के तौर पर पढ़ना चाहिए, किसी भी संगठन के लिए सार्वभौमिक गारंटी के रूप में नहीं। फिर भी, अंतर एक स्पष्ट सबक देता है: ऑथेंटिकेटेड प्रेषकों, छिपे URL और सशर्त ब्राउज़र फ्लो से निपटने के लिए एक ही सुरक्षा नियंत्रण पर निर्भर रहने के बजाय परतदार जांच जरूरी है। 135

निष्कर्ष

VBSpam Q3 2026 की रिपोर्टिंग ऐसे फिशिंग मॉडल को रेखांकित करती है जिसमें ईमेल पहुंचते समय सामान्य दिख सकता है, लेकिन धोखाधड़ी तभी सामने आती है जब प्राप्तकर्ता का ब्राउज़र हमलावर की तय शर्तें पूरी करे। प्रेषक प्रमाणीकरण जरूरी सुरक्षा स्वच्छता है, मगर सुरक्षा निर्णय को पूरे रीडायरेक्ट पथ और अंतिम वेब अनुभव तक जाना चाहिए। 35