VBSpam S3 2026: E-mel Disahkan Bukan Bukti Ia Selamat

E-mel yang lulus pengesahan teknikal tidak semestinya selamat. Laporan mengenai ujian perbandingan VBSpam bagi suku ketiga (S3) 2026 oleh Virus Bulletin menunjukkan penipu boleh menggabungkan infrastruktur penghantaran yang kelihatan sah dengan pelindungan URL berbilang peringkat yang bergantung pada pelayar. Dalam keadaan ini, unsur berbahaya hanya muncul selepas penerima membuka pautan dan memenuhi syarat tertentu.

Ujian selama 16 hari itu dijalankan mengikut pelan ujian AMTSO (Anti-Malware Testing Standards Organization) dan menilai 103,969 e-mel, termasuk 103,380 mesej spam. 13

Pengesahan e-mel bukan jaminan kandungannya selamat

SPF, DKIM dan DMARC membantu menyemak aspek laluan penghantaran e-mel serta penjajaran domain. Namun, mekanisme ini tidak membuktikan kandungan mesej tidak berbahaya, setiap pautan selamat, atau laman akhir selepas rantaian pengalihan adalah sah.

Itulah perbezaan penting dalam kempen yang dilaporkan. Penyerang menggunakan infrastruktur penghantaran yang disahkan atau kelihatan dipercayai, kemudian menangguhkan tindakan berbahaya kepada aliran web. Aliran ini boleh menyemak pelayar, lokasi, zon waktu atau masa sebelum memaparkan destinasi sebenar kepada mangsa. 35

Tiga corak phishing yang diketengahkan

1. Umpan bayaran tertunggak melalui Amazon SES

Satu kempen berbahasa Jerman menggunakan tema bayaran tertunggak dan dihantar melalui Amazon SES daripada domain yang sejajar dengan DKIM. Tiada lampiran digunakan. Sebaliknya, e-mel HTML itu dilaporkan mengandungi penanda kod umpan, teks tersembunyi, iframe bersaiz sifar dan JavaScript yang dikaburkan. 35

Aliran pautannya menilai pelawat terlebih dahulu: ia mengambil cap jari maklumat pelayar serta zon waktu, membuat permintaan POST tersembunyi, kemudian mengalihkan pelawat yang memenuhi kriteria ke OpenSea. Urutan ini dilaporkan selaras dengan penipuan kripto atau NFT yang dilindungkan, sambil menjadikan pemeriksaan ringkas terhadap mesej atau URL awal kurang mendedahkan niat sebenar. 35

2. Pembaharuan langganan palsu McAfee dan TotalAV

Kempen berbahasa Belanda pula menyamar sebagai McAfee dan TotalAV. Penerima diberi amaran tentang “631 virus berbahaya” dan ditawarkan pembaharuan langganan pada harga diskaun. Umpan ini menggunakan kejuruteraan sosial melalui HTML, bukannya lampiran berniat jahat biasa. 35

Ciri pengelakannya ialah penghantaran bersyarat: destinasi boleh berubah mengikut masa, lokasi atau profil mangsa yang dikesan. Ini menyukarkan pengimbasan automatik kerana pengimbas mungkin menerima halaman tidak berbahaya, ralat atau laluan pengalihan yang berbeza daripada apa yang dilihat penerima sasaran. Matlamat yang dilaporkan ialah penipuan langganan. 35

3. Penyamaran BCR S.A. berkaitan persetujuan PSD2

Satu mesej phishing berbahasa Romania menyamar sebagai BCR S.A. dan mendakwa persetujuan PSD2 perlu diperbaharui. PSD2 ialah rangka kerja peraturan pembayaran di Kesatuan Eropah; justeru, alasan “pembaharuan persetujuan” boleh kelihatan seperti proses perbankan yang biasa kepada penerima.

Menurut laporan, destinasi pautan itu disamarkan menggunakan alamat IPv6-mapped, iaitu teknik yang boleh menyukarkan penghuraian URL dan analisis oleh pengimbas. 3

Tema pembaharuan persetujuan perbankan yang kononnya wajib juga sesuai digunakan untuk mencuri kelayakan log masuk, kerana ia mendesak penerima bertindak cepat dalam aliran kerja kewangan yang nampak biasa. 3

Mengapa imbasan statik semakin tidak mencukupi

Contoh ini menunjukkan perubahan lokasi logik serangan phishing. E-mel awal boleh datang daripada pengirim yang lulus pengesahan, sementara pautannya pula tidak terus memperlihatkan niat jahat. Perilaku penentu berlaku kemudian dalam pelayar:

• HTML dan JavaScript menyamarkan struktur mesej asal.
• Rantaian pengalihan memisahkan URL yang dihantar daripada destinasi akhir.
• Semakan pelayar, zon waktu, lokasi dan masa boleh membezakan sasaran berpotensi daripada sistem automatik.
• Tindak balas bersyarat boleh menyembunyikan kandungan paling berbahaya daripada kotak pasir atau semakan reputasi mudah. 35

Bagi pasukan keselamatan, maksudnya bukan untuk mengetepikan pengesahan e-mel. Sebaliknya, pengesahan perlu dianggap sebagai satu isyarat dalam penilaian lebih luas yang turut meliputi kandungan mesej, reputasi pengirim, perilaku pautan dan risiko di destinasi akhir. 35

Keutamaan pertahanan yang dicadangkan

Aliran kerja keselamatan e-mel yang lebih kukuh perlu menilai keseluruhan perjalanan pautan, bukan hanya isyarat pertama:

1. Normalkan URL yang dikaburkan. Nyahkod dan seragamkan bentuk alamat yang luar biasa sebelum semakan reputasi atau dasar dibuat.
2. Jejaki rantaian pengalihan hingga selesai. Nilai setiap hentian dan halaman pendaratan akhir, bukan URL asal sahaja.
3. Analisis tingkah laku pada sisi pelayar. Kenal pasti pengalihan bersyarat, pengambilan cap jari, permintaan tersembunyi dan perilaku yang hanya timbul selepas halaman dilaksanakan.
4. Letakkan pengesahan dalam konteks. SPF, DKIM dan DMARC menyokong keputusan kepercayaan, tetapi tidak sepatutnya mengatasi isyarat kandungan atau destinasi yang berbahaya.
5. Ukur positif palsu bersama kadar pengesanan. Produk yang menyekat ancaman tetapi mengganggu e-mel sah mencipta risiko operasi yang lain. 35

Keputusan produk yang dilaporkan menunjukkan jurang besar

Keputusan komposit yang dilaporkan menunjukkan pengesanan keseluruhan yang sangat tinggi boleh dicapai oleh produk teratas, tetapi prestasinya tidak seragam. Net at Work NoSpamProxy mencatat skor akhir 99.995 tanpa positif palsu; Bitdefender GravityZone Premium mencatat 99.994; dan SEPPmail.cloudfilter memperoleh 99.985. Rspamd pula dilaporkan pada 62.5%. 35

Angka ini ialah keputusan bagi ujian perbandingan tertentu tersebut, bukannya jaminan universal untuk setiap persekitaran organisasi. Namun, jurang itu mengukuhkan pengajaran praktikal: mengendalikan pengirim yang disahkan, URL yang dikaburkan dan aliran pelayar bersyarat memerlukan pemeriksaan berlapis, bukan pergantungan pada satu kawalan sahaja. 135

Kesimpulan

Pelaporan VBSpam S3 2026 menggambarkan model phishing yang memanfaatkan satu kelebihan: penyerang boleh membuat e-mel kelihatan boleh diterima ketika ia dihantar, tetapi hanya mendedahkan penipuan apabila pelayar penerima memenuhi syarat tertentu.

Pengesahan pengirim kekal penting sebagai amalan asas keselamatan e-mel. Namun, keputusan keselamatan perlu melangkaui SPF, DKIM dan DMARC—hingga ke keseluruhan rantaian pengalihan serta pengalaman sebenar di laman web akhir. 35