VBSpam Q3 2026: uwierzytelniony e-mail nie jest dowodem bezpieczeństwa

Wiadomość, która technicznie przechodzi uwierzytelnienie, nie powinna być automatycznie uznawana za bezpieczną. Relacje z porównawczego testu VBSpam za III kwartał 2026 r., prowadzonego przez Virus Bulletin, opisują kampanie łączące pozornie wiarygodną infrastrukturę wysyłkową z wieloetapowym maskowaniem adresów URL zależnym od zachowania przeglądarki. Test trwał 16 dni, był prowadzony według planu AMTSO i objął 103 969 e-maili, w tym 103 380 wiadomości spamowych. 13

Uwierzytelnienie potwierdza drogę wiadomości, nie jej bezpieczeństwo

SPF, DKIM i DMARC pomagają zweryfikować elementy ścieżki wysyłki oraz zgodność domeny. Nie potwierdzają jednak, że treść e-maila jest nieszkodliwa, że każdy zawarty w nim link jest bezpieczny ani że strona końcowa po serii przekierowań jest prawdziwa.

To właśnie tę lukę wykorzystywały opisane kampanie. Atakujący posługiwali się uwierzytelnioną lub sprawiającą wrażenie zaufanej infrastrukturą, a złośliwe działanie odkładali na późniejszy etap — do przepływu w przeglądarce, który mógł sprawdzać typ przeglądarki, strefę czasową, lokalizację lub moment wejścia na stronę. 35

Trzy schematy phishingu opisane w relacjach z testu

1. Fałszywe wezwanie do zapłaty wysłane przez Amazon SES

Jedna z niemieckojęzycznych kampanii wykorzystywała motyw zaległej płatności. Wiadomość wysłano przez Amazon SES z domeny zgodnej z DKIM. Zamiast klasycznego załącznika e-mail HTML miał zawierać elementy-wabiki, ukryty tekst, ramkę iframe o zerowym rozmiarze oraz zaciemniony JavaScript. 35

Link prowadził do mechanizmu oceniającego odwiedzającego: zbierał informacje o przeglądarce i strefie czasowej, wysyłał ukryte żądanie POST, a następnie przekierowywał kwalifikujące się osoby do OpenSea. Opisywano ten łańcuch jako zgodny z maskowanym oszustwem dotyczącym kryptowalut lub NFT. Jednocześnie prosta analiza początkowej wiadomości albo samego adresu URL mogła nie ujawnić faktycznego celu. 35

2. Fałszywe odnowienia subskrypcji McAfee i TotalAV

Kampania w języku niderlandzkim podszywała się pod McAfee i TotalAV. Ostrzegała przed „631 niebezpiecznymi wirusami” oraz oferowała promocyjne odnowienie subskrypcji. Przynętą była socjotechnika w wiadomości HTML, bez typowego złośliwego załącznika. 35

Jej istotną cechą było warunkowe kierowanie odbiorcy: strona docelowa mogła się zmieniać zależnie od czasu, lokalizacji albo pozornego profilu ofiary. Utrudnia to automatyczne skanowanie, ponieważ skaner może zobaczyć bezpieczną stronę, błąd albo inną trasę przekierowań niż wybrany odbiorca. Zgłaszanym celem było oszustwo subskrypcyjne. 35

3. Podszywanie się pod BCR S.A. i zgodę PSD2

W rumuńskojęzycznej wiadomości phishingowej przestępcy podszywali się pod BCR S.A. i twierdzili, że wymagana jest odnowa zgody PSD2. PSD2 to unijna dyrektywa regulująca usługi płatnicze, dlatego taki pretekst może brzmieć jak element rutynowej obsługi bankowej. Według opisu kampanii adres docelowy ukryto przy użyciu adresu mapowanego IPv6 — techniki, która może komplikować analizę i parsowanie URL przez narzędzia ochronne. 3

Motyw obowiązkowego odnowienia zgody bankowej wywiera presję na szybkie działanie w znajomym odbiorcy procesie finansowym, co sprzyja wyłudzaniu danych logowania. 3

Dlaczego sama analiza statyczna nie wystarcza

Przykłady wskazują, że coraz większa część logiki phishingu działa już nie w samej wiadomości, lecz później — w przeglądarce. Początkowy e-mail może pochodzić od nadawcy, który przechodzi kontrole uwierzytelnienia, a intencja linku może nie być od razu widoczna. Decydujące zachowanie ujawnia się dopiero po wejściu na stronę:

• HTML i JavaScript zaciemniają strukturę wiadomości;
• łańcuchy przekierowań oddzielają dostarczony adres od ostatecznej strony;
• kontrola przeglądarki, strefy czasowej, lokalizacji i czasu może odróżniać potencjalną ofiarę od systemu automatycznego;
• warunkowe odpowiedzi mogą ukrywać najbardziej szkodliwą treść przed prostym sandboxem lub kontrolą reputacji. 35

Wniosek dla zespołów bezpieczeństwa nie polega na rezygnacji z uwierzytelniania poczty. SPF, DKIM i DMARC pozostają ważne, ale powinny być tylko jednym z sygnałów — obok analizy treści, reputacji nadawcy, zachowania linku i ryzyka związanego ze stroną docelową. 35

Co powinny sprawdzać zabezpieczenia poczty

Silniejszy proces ochrony musi analizować pełną ścieżkę ataku, a nie tylko pierwszy sygnał:

1. Normalizować zaciemnione adresy URL — dekodować i ujednolicać nietypowe formy adresów przed sprawdzeniem reputacji lub zastosowaniem reguł.
2. Śledzić cały łańcuch przekierowań — oceniać każdy etap oraz końcową stronę, nie tylko pierwotny link.
3. Analizować zachowanie po stronie przeglądarki — wykrywać warunkowe przekierowania, fingerprinting, ukryte żądania i inne działania widoczne dopiero po uruchomieniu strony.
4. Interpretować uwierzytelnienie w kontekście — SPF, DKIM i DMARC nie powinny przeważać nad sygnałami wskazującymi na złośliwą treść lub ryzykowny cel.
5. Mierzyć fałszywe alarmy razem ze skutecznością wykrywania — rozwiązanie blokujące zagrożenia kosztem legalnej poczty generuje inne ryzyko operacyjne. 35

Duże różnice w zgłoszonych wynikach produktów

Zgłoszone wyniki zbiorcze wskazują, że najlepsze produkty mogły osiągać bardzo wysoką ogólną skuteczność, lecz rezultaty nie były jednolite. Net at Work NoSpamProxy uzyskał końcowy wynik 99,995 bez fałszywych alarmów, Bitdefender GravityZone Premium — 99,994, a SEPPmail.cloudfilter — 99,985. Dla Rspamd zgłoszono wynik 62,5%. 35

Są to wyniki konkretnego testu porównawczego, a nie uniwersalna gwarancja skuteczności w każdym środowisku. Różnica między rezultatami wzmacnia jednak praktyczny wniosek: ochrona przed uwierzytelnionymi nadawcami wykorzystywanymi w atakach, zaciemnionymi URL i warunkowymi przepływami w przeglądarce wymaga kontroli wielowarstwowej, a nie polegania na jednym mechanizmie. 135

Najważniejszy wniosek

Relacje z VBSpam Q3 2026 opisują model phishingu oparty na prostej asymetrii: wiadomość może wyglądać poprawnie w chwili dostarczenia, a oszustwo ujawnia się dopiero wtedy, gdy przeglądarka odbiorcy spełni wybrane warunki. Uwierzytelnianie nadawcy jest niezbędnym elementem higieny bezpieczeństwa, ale decyzja o zaufaniu musi obejmować cały łańcuch przekierowań i końcowe zachowanie strony internetowej. 35