VBSpam Q3 2026: phishing przenosi oszustwo poza bramę e-mailową

Wiadomość phishingowa nie musi już zawierać złośliwego załącznika ani pochodzić od nadawcy, który na pierwszy rzut oka budzi podejrzenia. Test porównawczy VBSpam za III kwartał 2026 r., prowadzony przez Virus Bulletin, zwrócił uwagę na kampanie korzystające z wiarygodnie wyglądającej infrastruktury wysyłkowej i niegroźnych pozornie wiadomości HTML. Kluczowy etap oszustwa był przenoszony do łańcuchów przekierowań oraz kodu uruchamianego w przeglądarce.

Najlepsze rozwiązania dla firm wypadły bardzo dobrze. Test nie oznacza więc, że bramy pocztowe przestały działać — pokazuje raczej, dlaczego nie powinny być jedyną kontrolą chroniącą przed phishingiem. 2021

E-mail jest dziś często tylko pierwszym etapem

Publiczna część testu trwała 16 dni. Oceniono w niej 11 publicznie testowanych produktów do ochrony poczty, na zbiorze 103 969 wiadomości, z których 103 380 stanowił spam. Według relacji z testu wiodące bramy dla przedsiębiorstw osiągnęły wykrywalność phishingu bliską 100%. Najwyższy wynik miał uzyskać Net at Work NoSpamProxy: 99,995 punktu końcowego, 100% wykrywalności malware’u, 99,990% wykrywalności phishingu i zero fałszywych alarmów. 2021

To ważne rozróżnienie. Wyniki nie dowodzą, że filtrowanie poczty przestało być skuteczne, lecz że przestępcy zmieniają sposób dostarczania ataku. Zamiast umieszczać najbardziej jednoznacznie złośliwy element bezpośrednio w e-mailu, mogą wysłać wiadomość bez załącznika, przez pozornie wiarygodny kanał, i użyć adresu URL, który zmienia zachowanie dopiero po kliknięciu przez odbiorcę.

VBSpam to skierowany do biznesu program porównawczy, który mierzy ochronę przed spamem, phishingiem i malware’em, uwzględniając także fałszywe alarmy. Testy opierają się na bieżących, realnie obserwowanych zagrożeniach e-mailowych, a nie na statycznym archiwum dawnych próbek. 61213

Trzy kampanie pokazujące zmianę taktyki

Niemieckie „Mahnschreiben” wysłane przez Amazon SES

Jedna z opisanych kampanii w języku niemieckim używała przynęty „Mahnschreiben”, czyli wezwania do zapłaty. Według relacji wiadomość wysłano przez Amazon SES z domeny moolaah[.]com, zgodnej z DKIM. Nie zawierała załącznika.

Link prowadził najpierw do strony zaprojektowanej tak, aby mniej podejrzanie wyglądać w automatycznej analizie: zawierała wabikowy kod strony, ukryty tekst, ramkę iframe o zerowym rozmiarze i zaciemniony JavaScript. Strona miała zbierać sygnały z przeglądarki oraz informacje o strefie czasowej, po czym przez ukryte żądanie POST przekierowywać użytkownika do opensea[.]io.

Oceniono ten schemat jako maskowaną ścieżkę oszustwa związanego z kryptowalutami lub NFT, a nie jako potwierdzone dostarczanie malware’u. To istotne: logika oszustwa może być celowo ukryta, dopóki odwiedzający nie zostanie uznany za rzeczywistą, odpowiednio sprofilowaną ofiarę. 20

Holenderskie fałszywe odnowienie antywirusa

W kampanii po holendersku podszywano się pod McAfee i TotalAV. Wiadomość HTML zachęcała do odnowienia usługi: twierdziła, że u odbiorcy wykryto „631 niebezpiecznych wirusów”, groziła zamknięciem konta i oferowała 90% zniżki.

Zamiast kierować odbiorcę na jedną stałą stronę phishingową, atak wykorzystywał odrębne ścieżki śledzące, rezygnacji z subskrypcji i wezwania do działania, prowadzące przez infrastrukturę przekierowań. Takie ścieżki mogą zmieniać cel, wygasać albo podawać inną treść zależnie od czasu lub lokalizacji. Dlatego jednorazowa ocena URL-a przez bramę pocztową może być mniej skuteczna niż analiza wykonywana w chwili kliknięcia.

Za prawdopodobny cel uznano oszustwo dotyczące odnowienia usługi lub programu partnerskiego oraz możliwą kradzież danych płatniczych — nie zaś potwierdzone pobranie złośliwego oprogramowania. 20

Rumuński pretekst zgody PSD2 podszywający się pod BCR

Inna kampania podszywała się pod BCR S.A. i wykorzystywała temat zgody w ramach PSD2, aby wywołać presję czasu. PSD2 to unijna dyrektywa regulująca m.in. usługi płatnicze i dostęp do danych rachunku za zgodą klienta, dlatego taki pretekst może brzmieć wiarygodnie.

Adres docelowy zapisano z użyciem reprezentacji adresu mapowanego na IPv6 — techniki zaciemniania, która może oszukać uproszczone mechanizmy parsowania URL-i lub sprawdzania reputacji. Kampanię oceniono jako prawdopodobną próbę kradzieży poświadczeń, ale dostępne materiały nie potwierdzają końcowej strony lądowania ani bardziej szczegółowego przypisania sprawców. 20

Co mówią wyniki — i czego nie należy z nich wnioskować

Relacje z testu wskazują na wyraźną różnicę między najlepszymi bramami firmowymi a publicznie testowanym wdrożeniem open source Rspamd. W jednym z opisów wykrywalność phishingu przez Rspamd wyniosła 62,550%, znacznie mniej niż u liderów testu. 21

Nie należy jednak przenosić tej liczby na każdą instalację Rspamd ani na całe oprogramowanie open source. W rzeczywistych wdrożeniach znaczenie mają konfiguracja, źródła danych o zagrożeniach, strojenie reguł i dodatkowe warstwy zabezpieczeń. Wynik wzmacnia natomiast praktyczny wniosek: szybko zmieniająca się infrastruktura przekierowań i phishing reagujący na zachowanie przeglądarki są trudne do sklasyfikowania przez domyślnie skonfigurowaną lub wąsko działającą warstwę pocztową.

Dla porównania: w osobnym przeglądzie VBSpam za II kwartał 2026 r. Rspamd wykazał 54,810% wykrywalności phishingu. To inny okres testowy, więc obu odsetków nie należy traktować jak jednego, bezpośrednio porównywalnego benchmarku. 5

Jak rozszerzyć ochronę poza bramę pocztową

Najważniejsza lekcja operacyjna z testu jest prosta: analizę trzeba przenieść z chwili dostarczenia wiadomości także na chwilę kliknięcia.

• Traktuj uwierzytelnienie jako sygnał tożsamości, a nie dowód bezpieczeństwa. Zgodność SPF lub DKIM i korzystanie z renomowanej usługi wysyłkowej mogą wskazywać, jak wysłano e-mail. Nie potwierdzają jednak prawdziwości oferty ani wiarygodności strony docelowej.
• Analizuj pełne łańcuchy przekierowań. Należy sprawdzać każdy etap i ponownie oceniać adres URL po kliknięciu, ponieważ cel oraz reputacja mogą zmienić się już po dostarczeniu wiadomości.
• Stosuj sandbox działający jak przeglądarka. Skuteczna analiza powinna uruchamiać JavaScript i wykrywać ukryte formularze, aktywność iframe, fingerprinting oraz warunkowe przekierowania — nie tylko skanować treść e-maila lub widoczny URL.
• Normalizuj nietypowe zapisy adresów. Narzędzia ochronne powinny bezpiecznie parsować zakodowane adresy i reprezentacje mapowane na IPv6, zanim zastosują reguły reputacyjne i blokady.
• Monitoruj zmiany infrastruktury. Warto śledzić zmiany DNS, nowe domeny, przekierowania HTTP i reputację końcowych adresów w czasie.
• Ogranicz skutki udanego kliknięcia. Uwierzytelnianie odporne na phishing oraz ochrona punktów końcowych mogą utrudnić przejęcie konta, nawet jeśli strona wyłudzająca hasło dotrze do odbiorcy.

Użytkownik nadal pozostaje ważną ostatnią linią obrony. Żądania płatności, prośby o zgodę bankową i ostrzeżenia o odnowieniu subskrypcji należy weryfikować przez znaną stronę internetową organizacji, jej aplikację lub oficjalny kanał obsługi — a nie przez link z wiadomości.

Wniosek

VBSpam Q3 2026 nie wykazał powszechnej porażki tradycyjnej ochrony e-mailowej. Najlepsze produkty korporacyjne nadal osiągały wyjątkowo mocne wyniki. 2021 Pokazał natomiast konkretny kierunek rozwoju phishingu: oszuści przenoszą najbardziej zwodnicze działania do spersonalizowanych etapów realizowanych w przeglądarce, których klasyczna brama może nie widzieć w pełni w chwili dostarczenia wiadomości.

Trwałą odpowiedzią jest obrona warstwowa: solidne filtrowanie poczty połączone z analizą przekierowań, inspekcją uwzględniającą zachowanie przeglądarki i zabezpieczeniami kont, które sprawiają, że przejęte hasło ma mniejszą wartość dla atakującego.