VBSpam Q3 2026: почему почтового шлюза уже недостаточно для защиты от фишинга

Фишинговому письму больше не нужны вредоносное вложение или откровенно подозрительный отправитель. Сравнительный тест VBSpam за III квартал 2026 года, проводимый Virus Bulletin, показал кампании с правдоподобной инфраструктурой рассылки и безобидными на вид HTML-письмами. Решающий этап обмана переносился в цепочки перенаправлений и код, исполняемый в браузере пользователя. Ведущие корпоративные решения показали сильные результаты, однако тест наглядно демонстрирует: одного почтового шлюза для защиты от фишинга недостаточно. 2021

Главное наблюдение: письмо — лишь первый этап

Открытая часть теста длилась 16 дней. В ней оценивались 11 публично тестируемых продуктов защиты электронной почты на массиве из 103 969 сообщений, из которых 103 380 были спамом. По данным публикаций о тесте, ведущие корпоративные шлюзы выявляли фишинг почти в 100% случаев. Лучший результат, как сообщалось, показал Net at Work NoSpamProxy: итоговый балл 99,995, обнаружение вредоносного ПО — 100%, фишинга — 99,990%, ложных срабатываний не было. 2021

Это не означает, что почтовая фильтрация перестала работать. Напротив, речь идёт об адаптации атакующих. Вместо того чтобы помещать явно вредоносный контент прямо в письмо, они используют сообщения без вложений, внешне легитимный канал отправки и ссылку, чьё поведение меняется уже после перехода пользователя.

VBSpam — ориентированная на бизнес сравнительная программа тестирования средств почтовой безопасности. Она измеряет защиту от спама, фишинга и вредоносных писем с учётом ложных срабатываний. Тесты рассчитаны на актуальные, поступающие в реальном времени угрозы, а не на статичный архив старых образцов. 61213

Три кампании, показывающие эту смену тактики

Немецкое «требование об оплате» через Amazon SES

В одной немецкоязычной кампании использовалась тема Mahnschreiben — письма о якобы просроченной оплате. Сообщения, по имеющимся данным, отправлялись через Amazon SES с DKIM-выровненного домена moolaah[.]com. Вложений в письмах не было.

Ссылка сначала вела на страницу, специально сделанную менее подозрительной для автоматической проверки: с отвлекающей разметкой, скрытым текстом, iframe нулевого размера и обфусцированным JavaScript. Страница собирала сведения о браузере и часовом поясе, после чего через скрытый POST-запрос перенаправляла посетителя на opensea[.]io.

Описанная оценка указывает на замаскированный маршрут криптовалютного или NFT-мошенничества, а не на подтверждённую доставку вредоносного ПО. Это важное различие: логика обмана может намеренно не срабатывать, пока посетитель не будет похож на реальную и подходящую цель. 20

Нидерландская «продлёнка антивируса» с меняющимися адресами

Другая кампания, на нидерландском языке, выдавала себя за уведомление от McAfee и TotalAV. HTML-письмо без вложений утверждало, что у получателя обнаружен «631 опасный вирус», грозило закрытием учётной записи и предлагало скидку 90%.

Вместо одной постоянной фишинговой страницы использовались раздельные пути для трекинга, отписки и кнопки призыва к действию — через инфраструктуру редиректов. Такие маршруты могут менять конечный адрес, истекать или отдавать разный контент в зависимости от времени либо местоположения. Поэтому однократная проверка URL на шлюзе может быть менее надёжной, чем анализ в момент, когда пользователь нажимает ссылку.

Цель кампании оценивалась как мошенничество с продлением подписки или партнёрскими выплатами и возможная кража платёжных данных; подтверждённой загрузки вредоносного ПО не установлено. 20

Румынский предлог с согласием PSD2 от имени BCR

Ещё одна кампания имитировала BCR S.A. и создавала срочность вокруг согласия по PSD2 — европейским правилам, регулирующим платёжные сервисы и доступ третьих сторон к банковским данным. По имеющимся сведениям, ссылка скрывала адрес назначения с помощью IPv6-mapped-представления. Такая обфускация может обходить упрощённый разбор URL или репутационные проверки.

Кампания была оценена как вероятная кража учётных данных. При этом представленные материалы не подтверждают ни конечную посадочную страницу, ни более точную атрибуцию. 20

Что говорят результаты — и чего они не доказывают

Данные Q3 указывают на заметный разрыв между лучшими корпоративными шлюзами и публично протестированным развёртыванием open-source решения Rspamd. В одной из публикаций его показатель обнаружения фишинга указан на уровне 62,550% — существенно ниже результатов лидирующих корпоративных продуктов. 21

Этот результат нельзя переносить на каждую установку Rspamd или на всё ПО с открытым исходным кодом: на фактическую защиту влияют конфигурация, каналы данных об угрозах, настройка правил и дополнительные средства контроля. Но он подчёркивает практическую проблему: быстро меняющаяся инфраструктура редиректов и фишинговые сценарии, учитывающие особенности браузера, сложны для классификации на уровне почтового слоя по умолчанию или при узкой настройке.

Для контекста: в отдельном обзоре Virus Bulletin за II квартал 2026 года для Rspamd был указан показатель обнаружения фишинга 54,810%. Это другой период тестирования, поэтому оба процента нельзя считать единым взаимозаменяемым ориентиром. 5

Что делать защитникам помимо фильтрации почты

Главный операционный вывод теста — переносить часть анализа с момента доставки на момент перехода по ссылке.

• Считайте аутентификацию признаком идентичности, а не гарантией безопасности. Выравнивание SPF или DKIM и известный сервис доставки помогают понять, как было отправлено письмо, но не доказывают честность коммерческого предложения или легитимность сайта назначения.
• Проверяйте всю цепочку редиректов. Анализируйте каждый переход и повторно оценивайте URL в момент клика: адрес назначения и его репутация могут измениться уже после доставки письма.
• Используйте песочницы с полноценным браузером. Для эффективного анализа требуется исполнение JavaScript и выявление скрытых форм, активности iframe, сбора параметров браузера и условных перенаправлений, а не только сканирование текста письма или видимой ссылки.
• Нормализуйте нестандартные формы URL. Средства защиты должны безопасно разбирать закодированные адреса и IPv6-mapped-представления до применения репутационных правил и блокировок.
• Следите за изменениями инфраструктуры. Полезно отслеживать изменения DNS, появление новых доменов, HTTP-редиректы и динамику репутации адресов.
• Снижайте последствия успешного перехода. Фишинг-устойчивая аутентификация и защита конечных устройств ограничивают риск захвата учётной записи даже в случае, если страница для сбора паролей дошла до получателя.

Пользователь остаётся важным последним рубежом. Требования оплаты, запросы банковского согласия и предупреждения о продлении подписки стоит проверять через известный сайт, приложение или официальный канал поддержки организации, а не по ссылке в письме.

Вывод

VBSpam Q3 2026 не показал массового провала традиционной почтовой защиты: лучшие корпоративные продукты продолжили демонстрировать исключительно высокие результаты. 2021 Но тест выявил более узкую и важную тенденцию: операторы фишинга переносят наиболее обманные действия в персонализированные браузерные этапы, которые обычный шлюз может не увидеть полностью при доставке.

Устойчивый ответ — многоуровневая защита: сильная фильтрация почты в сочетании с анализом редиректов, проверкой в браузерной среде и защитой учётных записей, делающей украденный пароль менее ценным для злоумышленника.