VBSpam Q3 2026: फिशिंग अब सिर्फ ईमेल गेटवे पर नहीं रुकती

फिशिंग ईमेल को खतरनाक बनने के लिए अब न तो हानिकारक अटैचमेंट चाहिए, न ही साफ तौर पर संदिग्ध दिखने वाला प्रेषक। Virus Bulletin के Q3 2026 VBSpam तुलनात्मक परीक्षण में ऐसे अभियान सामने आए जिनमें भरोसेमंद दिखने वाले डिलीवरी इन्फ्रास्ट्रक्चर और सामान्य-से HTML संदेशों का उपयोग हुआ। असली धोखाधड़ी का चरण बाद में—रीडायरेक्ट की कई कड़ियों और ब्राउज़र में चलने वाले कोड के जरिए—शुरू हुआ।

इसका अर्थ यह नहीं कि एंटरप्राइज़ ईमेल फिल्टर विफल हो गए हैं। अग्रणी उत्पादों का प्रदर्शन बहुत मजबूत रहा। लेकिन यह जरूर स्पष्ट होता है कि केवल ईमेल गेटवे को फिशिंग-रोधी सुरक्षा की एकमात्र परत मानना पर्याप्त नहीं है। 2021

ईमेल सिर्फ पहला चरण है

सार्वजनिक Q3 परीक्षण 16 दिन चला। इसमें 11 सार्वजनिक रूप से परीक्षण किए गए ईमेल-सिक्योरिटी उत्पादों को 103,969 संदेशों के विरुद्ध परखा गया, जिनमें 103,380 स्पैम संदेश थे। रिपोर्टों के अनुसार, शीर्ष एंटरप्राइज़ गेटवे ने फिशिंग पकड़ने में लगभग 100% दर दर्ज की। Net at Work NoSpamProxy का अंतिम स्कोर 99.995 बताया गया; इसकी मैलवेयर डिटेक्शन 100%, फिशिंग डिटेक्शन 99.990% और फॉल्स पॉजिटिव शून्य थे। 2021

हमलावरों की रणनीति यह है कि ईमेल में स्पष्ट रूप से खतरनाक सामग्री डालने के बजाय वे अटैचमेंट-रहित संदेश, वैध दिखने वाला भेजने का रास्ता और ऐसा URL भेजें जिसका व्यवहार उपयोगकर्ता के क्लिक करने के बाद बदल जाए। यानी डिलीवरी के समय दिखने वाला लिंक और बाद में खुलने वाला अंतिम पेज एक जैसे नहीं भी हो सकते हैं।

VBSpam व्यवसाय-केंद्रित ईमेल सुरक्षा उत्पादों का तुलनात्मक कार्यक्रम है। यह स्पैम, फिशिंग और मैलवेयर से सुरक्षा के साथ-साथ गलत तरीके से वैध ईमेल रोक देने—फॉल्स पॉजिटिव—को भी मापता है। परीक्षण का उद्देश्य पुराने नमूनों के स्थिर संग्रह के बजाय मौजूदा, सक्रिय ईमेल खतरों के विरुद्ध प्रदर्शन देखना है। 61213

तीन अभियानों से समझिए तरीका

1. Amazon SES के जरिए भेजा गया जर्मन बकाया-भुगतान संदेश

एक जर्मन-भाषी “Mahnschreiben”, यानी बकाया भुगतान संबंधी नोटिस, अभियान में कथित तौर पर Amazon SES और DKIM-अलाइन moolaah[.]com डोमेन का इस्तेमाल हुआ। संदेश में कोई अटैचमेंट नहीं था। लिंक एक ऐसे पेज पर ले जाता था जिसे स्वचालित जांच में कम संदिग्ध दिखने के लिए बनाया गया था—उसमें भ्रामक मार्कअप, छिपा हुआ टेक्स्ट, शून्य आकार का iframe और अस्पष्ट किया गया JavaScript था।

रिपोर्ट के अनुसार, पेज ने ब्राउज़र और टाइम-ज़ोन से जुड़े संकेत जुटाए और फिर एक छिपे हुए POST अनुरोध के जरिये उपयोगकर्ता को opensea[.]io पर रीडायरेक्ट किया। आकलन इसे छिपे हुए क्रिप्टोकरेंसी या NFT फ्रॉड रूट के रूप में देखता है, न कि पुष्ट मैलवेयर डिलीवरी के रूप में। फर्क महत्वपूर्ण है: धोखाधड़ी वाला अंतिम व्यवहार तब तक रोका या बदला जा सकता है, जब तक विज़िटर वास्तविक और लक्ष्य के अनुकूल न लगे। 20

2. बदलते गंतव्यों वाला डच एंटीवायरस-रिन्यूअल स्कैम

डच भाषा के एक HTML-केवल ईमेल ने McAfee और TotalAV का रूप धरा। इसमें दावा किया गया कि प्राप्तकर्ता के सिस्टम में “631 dangerous viruses” हैं, अकाउंट बंद होने की चेतावनी दी गई और 90% छूट का प्रस्ताव रखा गया।

एक तय फिशिंग पेज पर निर्भर रहने के बजाय, अभियान ने ट्रैकिंग, अनसब्सक्राइब और कॉल-टू-एक्शन के लिए अलग-अलग रीडायरेक्ट रास्ते इस्तेमाल किए। ऐसे रास्तों का गंतव्य समय या स्थान के अनुसार बदल सकता है, वे समाप्त हो सकते हैं या अलग सामग्री दिखा सकते हैं। इसीलिए ईमेल पहुंचने के समय की एक बार की URL जांच, उपयोगकर्ता के क्लिक करने पर किए गए विश्लेषण से कम प्रभावी हो सकती है। आकलन में इसका उद्देश्य रिन्यूअल या अफिलिएट फ्रॉड और संभवतः भुगतान-संबंधी डेटा चोरी बताया गया है; मैलवेयर डाउनलोड की पुष्टि नहीं हुई। 20

3. रोमानियाई BCR PSD2-सहमति का बहाना

एक अन्य अभियान ने BCR S.A. का प्रतिरूपण किया और PSD2-सहमति के विषय से तात्कालिकता पैदा की। PSD2 यूरोपीय भुगतान सेवाओं से जुड़ा नियामकीय ढांचा है; ऐसी सहमति का बहाना बैंकिंग उपयोगकर्ताओं के लिए विश्वसनीय लग सकता है।

रिपोर्ट के अनुसार, हमलावरों ने गंतव्य को IPv6-mapped address के रूप में एन्कोड किया—यह ऐसा अस्पष्टीकरण है जो साधारण URL पार्सिंग या रेप्युटेशन जांच को चकमा दे सकता है। अभियान को संभावित क्रेडेंशियल चोरी के रूप में आंका गया, हालांकि उपलब्ध रिपोर्ट अंतिम लैंडिंग पेज या अधिक विशिष्ट एट्रिब्यूशन की पुष्टि नहीं करती। 20

डिटेक्शन आंकड़े क्या बताते हैं—और क्या नहीं

Q3 रिपोर्टिंग में अग्रणी एंटरप्राइज़ गेटवे और सार्वजनिक रूप से परीक्षण किए गए ओपन-सोर्स Rspamd डिप्लॉयमेंट के बीच उल्लेखनीय अंतर दिखा। एक रिपोर्ट में Rspamd की फिशिंग कैच रेट 62.550% बताई गई, जो शीर्ष एंटरप्राइज़ उत्पादों से काफी कम थी। 21

इसे हर Rspamd इंस्टॉलेशन या पूरे ओपन-सोर्स इकोसिस्टम का सार्वभौमिक निष्कर्ष नहीं मानना चाहिए। वास्तविक प्रदर्शन कॉन्फ़िगरेशन, थ्रेट फीड, ट्यूनिंग और आसपास की सुरक्षा परतों पर निर्भर करता है। फिर भी, यह एक व्यावहारिक बात रेखांकित करता है: तेजी से बदलती रीडायरेक्ट संरचना और ब्राउज़र को समझकर काम करने वाले फिशिंग फ्लो को डिफॉल्ट या सीमित रूप से कॉन्फ़िगर की गई ईमेल परत के लिए वर्गीकृत करना मुश्किल हो सकता है।

संदर्भ के लिए, Virus Bulletin की अलग Q2 2026 समीक्षा में उस परीक्षण के लिए Rspamd की फिशिंग कैच रेट 54.810% थी। यह अलग अवधि का परीक्षण है, इसलिए दोनों प्रतिशतों को एक ही, अदल-बदल कर इस्तेमाल होने वाला बेंचमार्क नहीं समझना चाहिए। 5

ईमेल गेटवे के आगे की सुरक्षा प्राथमिकताएं

इस परीक्षण से सबसे उपयोगी परिचालन सबक है: जांच को डिलीवरी के समय से बढ़ाकर क्लिक के समय तक ले जाना।

• ईमेल प्रमाणीकरण को पहचान का संकेत मानें, सुरक्षा का प्रमाण नहीं। SPF या DKIM अलाइनमेंट और प्रतिष्ठित डिलीवरी सेवा यह दिखा सकती है कि संदेश किस तरह भेजा गया; वे उसके व्यावसायिक दावे या अंतिम गंतव्य को वैध साबित नहीं करते।
• रीडायरेक्ट चेन की हर कड़ी जांचें। हर हॉप का निरीक्षण करें और उपयोगकर्ता के क्लिक पर URL को फिर से परखें, क्योंकि डिलीवरी के बाद गंतव्य और उसकी रेप्युटेशन बदल सकती है।
• ब्राउज़र-सक्षम डिटोनेशन अपनाएं। प्रभावी विश्लेषण में JavaScript चलाकर छिपे फॉर्म, iframe गतिविधि, ब्राउज़र फिंगरप्रिंटिंग और शर्तों पर आधारित रीडायरेक्ट का पता लगाना शामिल होना चाहिए; केवल ईमेल बॉडी या दिखने वाले URL को स्कैन करना काफी नहीं है।
• असामान्य URL स्वरूपों को नॉर्मलाइज़ करें। रेप्युटेशन और ब्लॉक नियम लागू करने से पहले सुरक्षा नियंत्रणों को एन्कोडेड पते और IPv6-mapped स्वरूप सुरक्षित तरीके से पार्स करने चाहिए।
• इन्फ्रास्ट्रक्चर में बदलाव पर नजर रखें। DNS परिवर्तन, नए डोमेन, HTTP रीडायरेक्ट और समय के साथ बदलती डेस्टिनेशन रेप्युटेशन की निगरानी करें।
• सफल क्लिक का असर सीमित करें। फिशिंग-रेज़िस्टेंट ऑथेंटिकेशन और एंडपॉइंट सुरक्षा, क्रेडेंशियल-चोरी वाला पेज उपयोगकर्ता तक पहुंच भी जाए तो अकाउंट टेकओवर का जोखिम घटा सकते हैं।

उपयोगकर्ता भी अंतिम सुरक्षा परत हैं। भुगतान की मांग, बैंक-सहमति अनुरोध या सब्सक्रिप्शन रिन्यूअल चेतावनी को संदेश के लिंक से नहीं, बल्कि संस्था की ज्ञात वेबसाइट, आधिकारिक ऐप या सत्यापित सहायता चैनल से जांचना चाहिए।

निष्कर्ष

VBSpam Q3 2026 यह नहीं कहता कि पारंपरिक ईमेल सुरक्षा व्यापक रूप से नाकाम हो गई है। शीर्ष एंटरप्राइज़ उत्पादों ने असाधारण रूप से मजबूत परिणाम दर्ज किए। 2021

परीक्षण का अधिक सटीक संदेश यह है कि फिशिंग ऑपरेटर अपनी सबसे भ्रामक गतिविधि अब व्यक्तिगत, ब्राउज़र-आधारित चरणों में ले जा रहे हैं—ऐसे चरण जिन्हें पारंपरिक गेटवे डिलीवरी के समय पूरी तरह नहीं देख पाता। टिकाऊ जवाब लेयर्ड डिफेंस है: मजबूत ईमेल फिल्टर, रीडायरेक्ट विश्लेषण, ब्राउज़र-अवेयर निरीक्षण और ऐसी अकाउंट सुरक्षा जो चोरी हुए पासवर्ड को कम उपयोगी बना दे।