VBSpam Q3 2026: Autentiserade mejl är inget säkerhetsbevis

Ett mejl som tekniskt sett är autentiserat ska inte automatiskt betraktas som säkert. Rapporteringen om Virus Bulletins jämförande VBSpam-test för tredje kvartalet 2026 beskriver nätfiskekampanjer som kombinerade till synes legitim leveransinfrastruktur med flerstegsbaserad URL-maskering som anpassas efter webbläsaren. Därmed förläggs det skadliga beteendet till ett skede som en enkel kontroll av avsändaren eller den första länken kan missa.

Testet pågick i 16 dagar enligt en testplan från AMTSO, en branschorganisation för standardisering av säkerhetstester. Totalt analyserades 103 969 mejl, varav 103 380 var skräppost. 13

Autentisering bekräftar inte att innehållet är ofarligt

SPF, DKIM och DMARC kan kontrollera delar av ett mejls sändningsväg och att domänen är korrekt anpassad. De visar däremot inte att innehållet är säkert, att länkarna är ofarliga eller att sidan i slutet av en kedja av omdirigeringar är legitim.

Det är just denna skillnad som står i centrum i de rapporterade kampanjerna. Angriparna använde autentiserad eller trovärdig infrastruktur för utskicket och väntade med det skadliga steget tills en webbsida kunde granska besökarens webbläsare, plats eller tidpunkt. 35

Tre mönster i de rapporterade nätfiskekampanjerna

Försenad betalning via Amazon SES

En tyskspråkig kampanj använde ett lockbete om en förfallen betalning och skickades via Amazon SES från en DKIM-anpassad domän. I stället för en bilaga innehöll HTML-mejlet enligt rapporteringen vilseledande kod, dold text, en iframe med noll storlek och förvanskad JavaScript-kod. 35

Länkflödet var utformat för att bedöma besökaren. Det samlade in information om webbläsare och tidszon, gjorde en dold POST-förfrågan och omdirigerade kvalificerade besökare till OpenSea. Förloppet har beskrivits som förenligt med maskerat krypto- eller NFT-bedrägeri och gör den första länken eller själva mejlet mindre avslöjande vid enkel granskning. 35

Fejkade förnyelser från McAfee och TotalAV

En nederländskspråkig kampanj utgav sig för att komma från McAfee och TotalAV. Mottagaren varnades för ”631 farliga virus” och erbjöds en rabatterad förnyelse. Lockbetet byggde på social manipulation i HTML i stället för en traditionell skadlig bilaga. 35

Den avgörande kringgåendetekniken var villkorlig leverans: destinationen kunde ändras beroende på tidpunkt, plats eller den bedömda målprofilen. Det försvårar automatiserad analys eftersom en skanner kan få se en ofarlig sida, ett felmeddelande eller en annan omdirigeringskedja än den som visas för den utvalda mottagaren. Det rapporterade målet var prenumerationsbedrägeri. 35

Bankimitationen BCR S.A. och PSD2-samtycke

I ett rumänskspråkigt nätfiskemejl imiterades BCR S.A. och mottagaren uppmanades att förnya sitt PSD2-samtycke. PSD2 är EU:s regelverk för betaltjänster. Enligt rapporteringen doldes måladressen med en IPv6-mappad adress, en metod som kan försvåra tolkning av URL:er och analys i säkerhetsskannrar. 3

Temat med ett påstått obligatoriskt bankärende kan pressa mottagaren att agera snabbt i ett välbekant ekonomiskt arbetsflöde och lämpar sig därför för stöld av inloggningsuppgifter. 3

Varför statisk kontroll inte räcker

Exemplen pekar på att mer av nätfiskets logik flyttar från mejlet till webbläsaren. Det första meddelandet kan komma från en avsändare som passerar autentiseringskontroller, och länken kan sakna ett omedelbart uppenbart syfte. Det avgörande sker först senare:

• HTML och JavaScript döljer mejlets ursprungliga struktur.
• Omdirigeringskedjor skiljer den levererade länken från den slutliga destinationen.
• Kontroller av webbläsare, tidszon, plats och tidpunkt kan skilja ut ett sannolikt mål från ett automatiserat system.
• Villkorliga svar kan hålla det mest skadliga innehållet borta från enklare sandlådor och kontroller av länkreputation. 35

Slutsatsen för försvarare är inte att överge mejlautentisering. Autentisering bör i stället vägas in tillsammans med innehållsanalys, avsändarens rykte, länkarnas beteende och risken hos slutdestinationen. 35

Prioriteringar för ett starkare skydd

Ett effektivare arbetsflöde för e-postsäkerhet behöver analysera hela vägen, inte bara den första signalen:

1. Normalisera förvanskade URL:er. Avkoda och kanonisera ovanliga adressformat innan de bedöms med rykte- eller policykontroller.
2. Följ hela omdirigeringskedjan. Granska varje steg och den slutliga landningssidan, inte bara den ursprungliga länken.
3. Analysera beteendet i webbläsaren. Leta efter villkorliga omdirigeringar, fingeravtryckstagning, dolda förfrågningar och annat som först syns när sidan körs.
4. Sätt autentisering i sitt sammanhang. SPF, DKIM och DMARC kan stödja ett förtroendebeslut, men ska inte väga tyngre än signaler om skadligt innehåll eller riskfyllda destinationer.
5. Mät falska positiva parallellt med träffsäkerheten. Ett system som blockerar hot men samtidigt stoppar legitim e-post skapar en annan operativ risk. 35

Stor skillnad mellan de rapporterade produktresultaten

De rapporterade sammanvägda resultaten visar att mycket hög upptäckt var möjlig för de starkaste produkterna, men att resultaten inte var jämna. Net at Work NoSpamProxy fick 99,995 i slutpoäng utan falska positiva. Bitdefender GravityZone Premium fick 99,994 och SEPPmail.cloudfilter 99,985. För Rspamd rapporterades resultatet 62,5 %. 35

Siffrorna gäller detta specifika jämförande test och är ingen generell garanti för en viss miljö. Men skillnaderna stärker den praktiska lärdomen: autentiserade avsändare, förvanskade URL:er och villkorliga webbläsarflöden kräver flera lager av analys, inte beroende av en enda säkerhetskontroll. 135

Slutsats

Rapporteringen om VBSpam Q3 2026 illustrerar en nätfiskemodell där angriparen kan få mejlet att se acceptabelt ut vid leverans, men först visa bedrägeriet när mottagarens webbläsare uppfyller vissa villkor. Avsändarautentisering är fortsatt nödvändig grundhygien, men säkerhetsbedömningen måste omfatta hela omdirigeringskedjan och den slutliga webbupplevelsen. 35