VBSpam S3 2026: Phishing Kini Melangkaui Gerbang E-mel

E-mel phishing tidak lagi memerlukan lampiran berniat jahat atau alamat pengirim yang jelas mencurigakan untuk membahayakan mangsa. Ujian perbandingan VBSpam bagi suku ketiga (S3) 2026 oleh Virus Bulletin menonjolkan kempen yang menggunakan infrastruktur penghantaran yang kelihatan sah serta mesej HTML tanpa lampiran, sebelum memindahkan langkah penipuan sebenar ke rantaian ubah hala dan kod yang berjalan dalam pelayar. Produk perusahaan terkemuka menunjukkan prestasi kukuh, namun ujian ini mengingatkan bahawa gerbang e-mel tidak boleh menjadi satu-satunya kawalan terhadap phishing. 2021

Dapatan utama: e-mel hanyalah peringkat pertama

Ujian awam S3 itu berlangsung selama 16 hari dan menilai 11 produk keselamatan e-mel yang diuji secara terbuka, menggunakan 103,969 mesej, termasuk 103,380 mesej spam. Laporan mengenai ujian itu menyatakan gerbang perusahaan utama mencatat kadar pengesanan phishing hampir 100%. Net at Work NoSpamProxy dilaporkan menjadi produk dengan skor tertinggi, dengan skor akhir 99.995, pengesanan malware 100%, pengesanan phishing 99.990% dan tiada positif palsu. 2021

Ini bukan bermakna penapisan e-mel perusahaan sudah tidak berfungsi. Sebaliknya, ia menunjukkan penyerang sedang menyesuaikan cara penyampaian mereka. Daripada meletakkan kandungan paling jelas berniat jahat terus dalam e-mel, mereka boleh menggunakan mesej tanpa lampiran, laluan penghantaran yang nampak meyakinkan dan URL yang berubah tingkah laku hanya selepas penerima mengkliknya.

VBSpam ialah program perbandingan berfokus perniagaan yang mengukur perlindungan terhadap spam, phishing dan malware, sambil mengambil kira positif palsu. Ujiannya direka untuk menilai ancaman e-mel semasa yang aktif, bukannya arkib statik sampel lama. 61213

Tiga kempen yang menggambarkan perubahan ini

Umpan tuntutan bayaran tertunggak dalam bahasa Jerman melalui Amazon SES

Satu kempen berbahasa Jerman bertajuk “Mahnschreiben”, iaitu notis bayaran tertunggak, dilaporkan menggunakan Amazon SES dan domain moolaah[.]com yang sejajar dengan DKIM. Mesej itu tidak mengandungi lampiran. Pautannya terlebih dahulu membawa ke halaman yang dibina agar kurang mencurigakan kepada pemeriksaan automatik, dengan markup umpan, teks tersembunyi, iframe bersaiz sifar dan JavaScript yang dikaburkan.

Halaman itu dilaporkan mengumpulkan isyarat pelayar dan zon waktu sebelum menggunakan permintaan POST tersembunyi untuk mengubah hala pelawat ke opensea[.]io. Penilaian yang dilaporkan menyifatkannya sebagai laluan penipuan mata wang kripto atau NFT yang diselindungkan, bukannya penghantaran malware yang disahkan. Perbezaan ini penting: logik penipuan mungkin sengaja tidak diaktifkan selagi pelawat belum kelihatan seperti sasaran sebenar yang memenuhi profil tertentu. 20

Penipuan pembaharuan antivirus dalam bahasa Belanda dengan destinasi berubah-ubah

Satu e-mel berbahasa Belanda yang menyamar sebagai McAfee dan TotalAV menggunakan tawaran pembaharuan berasaskan HTML sahaja. Ia mendakwa penerima mempunyai “631 virus berbahaya”, mengugut untuk menutup akaun dan menawarkan diskaun 90%.

Daripada bergantung pada satu halaman phishing yang tetap, kempen itu menggunakan laluan berasingan bagi penjejakan, nyahlanggan dan butang tindakan melalui infrastruktur ubah hala. Laluan sedemikian boleh menukar destinasi, tamat tempoh atau memaparkan kandungan berlainan mengikut masa atau lokasi. Oleh itu, semakan URL sekali sahaja di gerbang e-mel mungkin kurang berkesan berbanding analisis yang dilakukan ketika pengguna benar-benar mengklik. Matlamat yang dinilai ialah penipuan pembaharuan atau afiliasi, serta kemungkinan pencurian data pembayaran, dan bukannya muat turun malware yang disahkan. 20

Helah persetujuan PSD2 BCR dari Romania

Kempen lain menyamar sebagai BCR S.A. dan menggunakan tema persetujuan PSD2 untuk mewujudkan rasa terdesak. PSD2 ialah peraturan perkhidmatan pembayaran Kesatuan Eropah. Kempen itu dilaporkan mengekodkan destinasi menggunakan perwakilan alamat yang dipetakan kepada IPv6, satu teknik pengaburan yang boleh menewaskan penghurai URL atau semakan reputasi yang terlalu ringkas. Kempen ini dinilai berkemungkinan bertujuan mencuri kelayakan log masuk, walaupun pelaporan yang dibekalkan tidak mengesahkan halaman pendaratan terakhir atau atribusi yang lebih khusus. 20

Apa yang dinyatakan oleh keputusan pengesanan — dan apa yang tidak

Pelaporan S3 menunjukkan jurang ketara antara gerbang perusahaan terbaik dengan pemasangan Rspamd sumber terbuka yang diuji secara terbuka. Satu laporan meletakkan kadar tangkapan phishing Rspamd pada 62.550%, jauh di bawah keputusan produk perusahaan terkemuka. 21

Angka ini tidak patut digeneralisasikan kepada setiap pemasangan Rspamd atau semua alat sumber terbuka. Konfigurasi, suapan ancaman, penalaan dan kawalan di sekelilingnya mempengaruhi prestasi sebenar. Namun, ia mengukuhkan satu hakikat praktikal: infrastruktur ubah hala yang berubah pantas dan aliran phishing yang peka terhadap pelayar sukar diklasifikasikan oleh lapisan e-mel yang menggunakan tetapan lalai atau konfigurasi sempit.

Sebagai konteks, semakan berasingan VBSpam bagi S2 2026 melaporkan kadar tangkapan phishing Rspamd sebanyak 54.810% dalam ujian itu, dan turut menyatakan pengesanan phishingnya ketinggalan berbanding produk terkemuka. Kedua-duanya ialah tempoh ujian berbeza, jadi peratus ini tidak wajar dianggap sebagai satu penanda aras tunggal yang boleh ditukar ganti. 5

Keutamaan pertahanan di luar gerbang e-mel

Pengajaran operasi paling berguna daripada ujian ini ialah melanjutkan analisis daripada masa penghantaran kepada masa klik.

• Anggap pengesahan e-mel sebagai isyarat identiti, bukan bukti keselamatan. Penjajaran SPF atau DKIM dan perkhidmatan penghantaran yang bereputasi boleh membantu menunjukkan cara mesej dihantar, tetapi tidak membuktikan tuntutan komersial atau destinasi pautannya sah.
• Jejaki rantaian ubah hala secara berulang. Periksa setiap hentian, kemudian nilai semula URL apabila pengguna mengklik kerana destinasi dan reputasinya boleh berubah selepas e-mel dihantar.
• Gunakan detonation yang mampu menjalankan pelayar. Analisis yang berkesan perlu melaksanakan JavaScript dan mengenal pasti borang tersembunyi, aktiviti iframe, cap jari pelayar serta ubah hala bersyarat — bukan sekadar mengimbas badan e-mel atau URL yang dipaparkan.
• Normalkan bentuk URL yang luar biasa. Kawalan keselamatan perlu menghurai alamat yang dikodkan dan perwakilan dipetakan IPv6 dengan selamat sebelum peraturan reputasi dan sekatan digunakan.
• Pantau perubahan infrastruktur. Pantau perubahan DNS, domain baharu, ubah hala HTTP dan reputasi destinasi dari semasa ke semasa.
• Kurangkan kesan klik yang berjaya. Pengesahan tahan-phishing dan perlindungan titik akhir boleh mengehadkan pengambilalihan akaun walaupun halaman pencurian kelayakan sampai kepada penerima.

Pengguna juga kekal sebagai benteng terakhir yang penting. Tuntutan bayaran, permintaan persetujuan perbankan dan amaran pembaharuan langganan perlu disahkan melalui laman web, aplikasi atau saluran sokongan rasmi organisasi — bukan menerusi pautan dalam mesej.

Kesimpulan

VBSpam S3 2026 tidak menunjukkan keselamatan e-mel konvensional gagal secara meluas. Produk perusahaan teratas masih mencatat keputusan ujian yang sangat kuat. 2021 Sebaliknya, ia menunjukkan perkara yang lebih khusus: pengendali phishing sedang memindahkan tingkah laku paling memperdaya ke peringkat yang diperibadikan dan bergantung pada pelayar, iaitu peringkat yang mungkin tidak dapat diperhatikan sepenuhnya oleh gerbang e-mel ketika penghantaran.

Tindak balas yang lebih tahan lama ialah pertahanan berlapis: penapisan e-mel yang kukuh, digabungkan dengan analisis ubah hala, pemeriksaan yang peka kepada pelayar dan perlindungan akaun yang menjadikan kata laluan dicuri kurang berguna.