VBSpam Q3 2026: Nätfiske flyttar förbi e-postfiltret

Nätfiskemejl behöver inte längre ha en skadlig bilaga eller en uppenbart misstänkt avsändare för att vara farliga. Virus Bulletins jämförande VBSpam-test för tredje kvartalet 2026 lyfte fram kampanjer som använde trovärdig leveransinfrastruktur och till synes harmlösa HTML-mejl. Själva bedrägeriet flyttades sedan till kedjor av omdirigeringar och kod i webbläsaren.

De ledande företagsprodukterna presterade mycket starkt, men testet visar varför en e-postgateway inte bör vara det enda skyddet mot nätfiske. 2021

E-postmeddelandet är bara första steget

Det offentliga Q3-testet pågick i 16 dagar och utvärderade 11 offentligt testade e-postsäkerhetsprodukter mot 103 969 meddelanden, varav 103 380 var skräppost. Enligt rapporteringen nådde de ledande företagsgatewayarna detekteringsnivåer för nätfiske nära 100 procent. Net at Work NoSpamProxy uppges ha fått högst slutpoäng, 99,995, med 100 procents detektering av skadlig kod, 99,990 procents detektering av nätfiske och inga falska positiva resultat. 2021

Det betyder inte att företagsfilter har slutat fungera. Tvärtom. Det visar att angriparna anpassar hur de levererar sina kampanjer. I stället för att lägga det mest uppenbart skadliga innehållet direkt i mejlet kan de använda ett meddelande utan bilaga, en till synes legitim utskicksväg och en länk vars beteende förändras först när mottagaren klickar.

VBSpam är ett jämförande testprogram för verksamhetsinriktade e-postsäkerhetsprodukter. Det mäter skydd mot skräppost, nätfiske och skadlig kod samt väger in falska positiva träffar. Testningen är utformad för att bedöma aktuella, levande e-posthot snarare än ett statiskt arkiv med gamla prov. 61213

Tre kampanjer som visar förskjutningen

Tyskt betalningskrav via Amazon SES

En tyskspråkig kampanj med ett så kallat Mahnschreiben – ett kravbrev om försenad betalning – använde enligt uppgift Amazon SES och domänen moolaah[.]com, med DKIM-anpassning. Mejlmeddelandet saknade bilaga. Länken ledde först till en sida utformad för att framstå som mindre misstänkt vid automatiserad granskning: vilseledande sidkod, dold text, en iframe utan synlig storlek och förvanskad JavaScript-kod.

Sidan samlade enligt uppgift in signaler från webbläsaren och tidszonen innan den via en dold POST-begäran skickade besökaren vidare till opensea[.]io. Bedömningen var att det rörde sig om en maskerad väg till kryptovaluta- eller NFT-bedrägeri, inte en bekräftad leverans av skadlig kod. Skillnaden är viktig: bedrägerilogiken kan medvetet hållas tillbaka tills besökaren verkar vara en verklig och lämpligt profilerad måltavla. 20

Nederländskt antivirusbedrägeri med växlande mål

Ett nederländskspråkigt mejl som utgav sig för att komma från McAfee och TotalAV använde ett HTML-baserat förnyelseerbjudande. Mottagaren påstods ha ”631 farliga virus”, hotades med att kontot skulle stängas och erbjöds 90 procents rabatt.

I stället för att förlita sig på en fast nätfiskesida använde kampanjen separata länkar för spårning, avregistrering och uppmaning till handling, via infrastruktur för omdirigeringar. Sådana länkar kan byta slutmål, sluta fungera eller visa olika innehåll beroende på tidpunkt eller plats. Därför är en engångskontroll av en URL i e-postgatewayen mindre tillförlitlig än analys när användaren faktiskt klickar. Det bedömda syftet var bedräglig förnyelse eller affiliatebedrägeri, och möjligen stöld av betalningsuppgifter, snarare än en bekräftad nedladdning av skadlig kod. 20

Rumänskt lockbete om PSD2-samtycke från BCR

En annan kampanj utgav sig för att vara BCR S.A. och använde ett tema om samtycke enligt PSD2 för att skapa brådska. PSD2 är EU:s regelverk för betaltjänster. Kampanjen kodade enligt uppgift sitt mål med en IPv6-mappad adressrepresentation – en förvanskning som kan kringgå förenklad URL-tolkning eller kontroller mot ryktesdata.

Kampanjen bedömdes sannolikt syfta till att stjäla inloggningsuppgifter. Underlaget fastställer däremot varken någon bekräftad slutlig landningssida eller en mer specifik attribuering. 20

Vad resultaten säger – och inte säger

Q3-rapporteringen pekar på en tydlig skillnad mellan de bästa företagsgatewayarna och den offentligt testade installationen av öppen källkodslösningen Rspamd. En rapport angav att Rspamd fångade 62,550 procent av nätfiskemejlen, klart under de ledande företagsprodukternas resultat. 21

Siffran ska inte generaliseras till alla Rspamd-installationer eller till verktyg med öppen källkod som kategori. Konfiguration, hotflöden, finjustering och kringliggande skydd påverkar resultatet i verkliga miljöer. Men den understryker en praktisk poäng: omdirigeringsinfrastruktur som snabbt förändras och nätfiskeflöden som anpassas efter webbläsaren kan vara svåra för ett grundkonfigurerat eller snävt e-postlager att klassificera.

Som jämförelse rapporterade Virus Bulletins separata Q2-granskning för 2026 en detekteringsgrad för nätfiske på 54,810 procent för Rspamd i det testet. Även där beskrevs nätfiskedetekteringen som svagare än hos de ledande produkterna. Det är olika testperioder, så procentsatserna bör inte behandlas som ett och samma utbytbara riktvärde. 5

Skydd som behövs även efter leveransen

Den viktigaste operativa lärdomen är att utvidga analysen från leveranstidpunkt till klicktidpunkt.

• Se e-postautentisering som en identitetssignal, inte som ett säkerhetsbesked. SPF- eller DKIM-anpassning och en välrenommerad utskickstjänst kan visa hur ett meddelande skickades, men inte att dess erbjudande eller slutmål är legitimt.
• Följ hela kedjan av omdirigeringar. Granska varje steg och omvärdera URL:er när användaren klickar, eftersom mål och ryktesdata kan ändras efter leveransen.
• Använd analys som klarar en webbläsare. Ett effektivt skydd behöver kunna köra JavaScript och upptäcka dolda formulär, iframe-aktivitet, fingeravtrycksinsamling och villkorade omdirigeringar – inte bara skanna mejltexten eller den synliga URL:en.
• Normalisera ovanliga URL-format. Säkerhetskontroller bör säkert kunna tolka kodade adresser och IPv6-mappade representationer innan regler för rykte och blockering tillämpas.
• Bevaka förändringar i infrastrukturen. Följ DNS-ändringar, nya domäner, HTTP-omdirigeringar och hur slutmålets rykte förändras över tid.
• Minska följderna av ett lyckat klick. Nätfiskeresistent autentisering och skydd på klientenheten kan begränsa kontokapning även om en sida för lösenordsstöld når mottagaren.

Användaren är fortfarande en viktig sista skyddslinje. Betalningskrav, förfrågningar om banksamtycke och varningar om förnyade abonnemang bör kontrolleras via organisationens kända webbplats, app eller supportkanal – inte via länken i meddelandet.

Slutsats

VBSpam Q3 2026 visade inte att traditionell e-postsäkerhet har misslyckats i stort. De främsta företagsprodukterna fortsatte att leverera exceptionellt starka testresultat. 2021

Vad testet däremot visar är mer specifikt: nätfiskeaktörer flyttar sitt mest vilseledande beteende till personanpassade, webbläsarstyrda steg som en konventionell gateway inte alltid kan observera fullt ut vid leveransen.

Det långsiktigt hållbara svaret är ett skiktat skydd: stark e-postfiltrering tillsammans med analys av omdirigeringar, webbläsarmedveten inspektion och kontoskydd som gör ett stulet lösenord mindre användbart.