VBSpam Q3 2026: geauthenticeerde e-mail is geen bewijs dat phishing veilig is

Een e-mail die technisch correct is geauthenticeerd, is niet automatisch veilig. Verslaggeving over Virus Bulletin’s VBSpam-vergelijkingstest voor Q3 2026 beschrijft phishingcampagnes die legitiem ogende verzendinfrastructuur combineerden met meerlaagse URL-cloaking in de browser. Daardoor ligt het schadelijke gedrag buiten het bereik van een eenvoudige controle van afzender of statische link. De test duurde 16 dagen, volgde een AMTSO-testplan en beoordeelde 103.969 e-mails, waarvan 103.380 spamberichten waren. 13

De kern: authenticatie kan kloppen, terwijl de e-mail toch frauduleus is

SPF, DKIM en DMARC helpen bij het controleren van onderdelen van het verzendpad en de uitlijning met een domein. Ze bewijzen echter niet dat de inhoud onschadelijk is, dat alle links veilig zijn of dat de uiteindelijke pagina achter een reeks omleidingen legitiem is.

Juist dat onderscheid staat centraal in de beschreven campagnes. Aanvallers gebruikten geauthenticeerde of betrouwbaar ogende infrastructuur en verplaatsten het schadelijke deel naar een webflow die browser, locatie of tijdstip van een bezoeker kon controleren voordat die een bestemming zag. 35

Drie phishingpatronen uit de testverslaggeving

1. Achterstallige betaling via Amazon SES

Een Duitstalige campagne speelde in op een achterstallige betaling en werd via Amazon SES verstuurd vanaf een DKIM-uitgelijnd domein. In plaats van een bijlage bevatte de HTML-e-mail volgens de berichtgeving afleidende opmaakcode, verborgen tekst, een iframe zonder afmetingen en versluierde JavaScript-code. 35

De link controleerde kenmerken van de bezoeker, waaronder browser en tijdzone, verstuurde een verborgen POST-verzoek en leidde geschikte bezoekers door naar OpenSea. Volgens de verslaggeving past die keten bij verhulde crypto- of NFT-fraude, terwijl een eerste inspectie van bericht of URL weinig prijsgeeft. 35

2. Nagemaakte verlengingen van McAfee en TotalAV

Een Nederlandstalige campagne deed zich voor als McAfee en TotalAV. Ontvangers kregen een waarschuwing over “631 gevaarlijke virussen” en een aanbieding voor een verlenging met korting. De lokboodschap steunde volledig op HTML-gebaseerde social engineering, niet op een conventionele schadelijke bijlage. 35

De cruciale ontwijkingstechniek was voorwaardelijke aflevering: de bestemming kon verschillen op basis van tijdstip, locatie of het vermoedelijke profiel van het slachtoffer. Dat bemoeilijkt geautomatiseerde analyse, omdat een scanner een onschuldige pagina, foutmelding of andere omleidingsroute kan krijgen dan de beoogde ontvanger. Het gerapporteerde doel was abonnementsfraude. 35

3. BCR S.A.-imitatie rond PSD2-toestemming

Een Roemeenstalig phishingbericht imiteerde BCR S.A. en stelde dat toestemming onder PSD2 — de Europese richtlijn voor betaaldiensten — opnieuw moest worden verleend. Volgens de berichtgeving was de bestemming verborgen met een IPv6-mapped address, een versluieringstechniek die URL-parsing en scanneranalyse kan compliceren. 3

Het thema van verplichte verlenging van banktoestemming kan druk zetten op de ontvanger om snel te handelen binnen een vertrouwde financiële workflow. Daarmee is het geschikt voor diefstal van inloggegevens. 3

Waarom alleen statisch scannen steeds minder volstaat

De voorbeelden wijzen op een verschuiving van de phishinglogica naar de fase ná bezorging. De afzender kan authenticatie doorstaan en de bedoeling van een link hoeft niet meteen zichtbaar te zijn. Het beslissende gedrag gebeurt vervolgens in de browser:

• HTML en JavaScript verbergen de oorspronkelijke structuur van het bericht.
• Omleidingsketens scheiden de bezorgde URL van de uiteindelijke bestemming.
• Controles op browser, tijdzone, locatie en tijdstip kunnen een waarschijnlijk doelwit onderscheiden van een geautomatiseerd systeem.
• Voorwaardelijke reacties kunnen de schadelijkste inhoud buiten eenvoudige sandboxing en reputatiecontroles houden. 35

Dat betekent niet dat e-mailauthenticatie moet worden afgeschaft. Wel moet authenticatie worden gezien als één signaal binnen een bredere beoordeling van inhoud, afzenderreputatie, linkgedrag en risico van de eindbestemming. 35

Prioriteiten voor verdediging

Een robuustere e-mailbeveiligingsaanpak moet de volledige route controleren, niet alleen het eerste signaal:

1. Normaliseer versluierde URL’s. Decodeer en canonicaliseer ongebruikelijke adresvormen vóór reputatie- of beleidscontroles.
2. Volg volledige omleidingsketens. Beoordeel elke stap én de uiteindelijke landingspagina, niet alleen de oorspronkelijke link.
3. Analyseer browsergedrag. Zoek naar voorwaardelijke omleidingen, fingerprinting, verborgen verzoeken en ander gedrag dat pas na uitvoering van een pagina zichtbaar wordt.
4. Plaats authenticatie in context. SPF, DKIM en DMARC kunnen een vertrouwensbeslissing ondersteunen, maar mogen signalen van schadelijke inhoud of bestemmingen niet overschrijven.
5. Meet fout-positieven naast detectie. Een product dat bedreigingen blokkeert maar legitieme mail verstoort, introduceert een ander operationeel risico. 35

De gerapporteerde productresultaten liepen sterk uiteen

De gerapporteerde samengestelde scores tonen dat zeer hoge detectie haalbaar was bij de best presterende producten, maar ook dat de prestaties niet gelijk waren. Net at Work NoSpamProxy behaalde een eindscore van 99,995 zonder fout-positieven; Bitdefender GravityZone Premium scoorde 99,994 en SEPPmail.cloudfilter 99,985. Voor Rspamd werd 62,5% gerapporteerd. 35

Deze cijfers zijn resultaten van deze specifieke vergelijkingstest, geen algemene garantie voor elke omgeving. De grote afstand tussen de resultaten onderstreept wel de praktische les: geauthenticeerde afzenders, versluierde URL’s en voorwaardelijke browserflows vragen om gelaagde inspectie, niet om vertrouwen in één enkele beveiligingsmaatregel. 135

Conclusie

De verslaggeving over VBSpam Q3 2026 laat een phishingmodel zien met een duidelijke asymmetrie: aanvallers kunnen een e-mail bij aflevering acceptabel laten lijken en de fraude pas tonen wanneer de browser van de ontvanger aan geselecteerde voorwaarden voldoet. Afzenderauthenticatie blijft noodzakelijke digitale hygiëne, maar de veiligheidsbeoordeling moet doorlopen tot en met de volledige omleidingsketen en de uiteindelijke webervaring. 35