VBSpam Q3 2026: чому автентифікований лист не є доказом безпеки

Автентифікація електронної пошти — SPF, DKIM і DMARC — важлива, але сама по собі не робить лист безпечним. Тест Virus Bulletin VBSpam за III квартал 2026 року показав, як зловмисники можуть використовувати легітимну або переконливу на вигляд інфраструктуру доставки, а шкідливу частину схеми переносити в багатоступеневі переадресації та сценарії, що виконуються вже в браузері. За 16 днів тестування за планом AMTSO перевірили 103 969 листів, з яких 103 380 були спамом. 13

Автентифікований відправник не означає безпечний вміст

SPF, DKIM і DMARC перевіряють окремі аспекти шляху доставки повідомлення та вирівнювання доменів. Вони не підтверджують, що текст листа нешкідливий, посилання веде на безпечний ресурс або кінцева сторінка після кількох редиректів є справжньою.

Саме на цій межі працюють описані у звітах кампанії: лист може надходити з інфраструктури, що виглядає надійною, а шахрайська дія активується лише тоді, коли сайт оцінить браузер, часовий пояс, локацію або момент переходу користувача. 35

Три схеми, на які звернули увагу в матеріалах про тест

Прострочений платіж: відправлення через Amazon SES і шлях до OpenSea

Одна німецькомовна кампанія використовувала тему простроченого платежу. Її надсилали через Amazon SES із домену, вирівняного за DKIM. Замість вкладення HTML-лист містив відволікальну розмітку, прихований текст, iframe нульового розміру та обфускований JavaScript. 35

Після переходу за посиланням сторінка збирала відомості про браузер і часовий пояс, робила прихований POST-запит, а потім перенаправляла користувачів, які відповідали заданим умовам, на OpenSea. Така послідовність, за повідомленнями, узгоджується із замаскованим криптовалютним або NFT-шахрайством і водночас ускладнює просту перевірку початкового листа чи URL. 35

Підроблене продовження McAfee та TotalAV

В іншій, нідерландськомовній кампанії зловмисники видавали себе за McAfee і TotalAV. Адресатам повідомляли про «631 небезпечний вірус» і пропонували продовжити підписку зі знижкою. Схема спиралася на соціальну інженерію в HTML-листі, а не на звичне шкідливе вкладення. 35

Її головна риса — умовна видача кінцевої сторінки. Призначення могло змінюватися залежно від часу, локації або профілю ймовірної жертви. Через це автоматичний сканер може побачити безпечну сторінку, помилку чи інший маршрут редиректів, аніж той, який отримає цільовий користувач. Заявленою метою була шахрайська схема з підписками. 35

Імітація BCR S.A. під приводом поновлення згоди PSD2

Румунськомовний фішинговий лист імітував BCR S.A. та стверджував, що згоду в межах PSD2 потрібно поновити. PSD2 — це правила ЄС для платіжних послуг, тому така тема може виглядати правдоподібною для клієнта банку. Цільову адресу приховували за допомогою IPv6-mapped адреси — техніки, яка може ускладнити розбір URL та його аналіз сканерами. 3

Привід нібито обов'язкового поновлення банківської згоди створює тиск на одержувача й добре пристосований для викрадення облікових даних. 3

Чому статичної перевірки вже недостатньо

У цих прикладах вирішальна логіка фішингу міститься не стільки в самому листі, скільки в тому, що відбувається після натискання на посилання:

• HTML і JavaScript приховують реальну структуру листа;
• ланцюжки редиректів відокремлюють доставлений URL від фінального сайту;
• перевірки браузера, часового поясу, локації та часу допомагають відрізняти ймовірну жертву від автоматизованої системи;
• умовні відповіді можуть не показувати найнебезпечніший вміст простій пісочниці або репутаційній перевірці. 35

Висновок не в тому, щоб відмовитися від автентифікації пошти. Її слід розглядати як один із сигналів поряд із аналізом вмісту, репутації відправника, поведінки посилань і ризику кінцевого ресурсу. 35

Що варто перевіряти захисним системам

За висновками з описаних випадків, ефективний захист має аналізувати весь маршрут, а не зупинятися на першому сигналі:

1. Нормалізувати обфусковані URL. Незвичні форми адрес слід декодувати та приводити до стандартного вигляду до застосування репутаційних або політичних перевірок.
2. Відстежувати повний ланцюжок редиректів. Оцінювати потрібно кожен перехід і остаточну сторінку, а не лише початкове посилання в листі.
3. Аналізувати поведінку в браузері. Виявляти умовні редиректи, браузерний відбиток, приховані запити та інші дії, які проявляються лише після виконання коду на сторінці.
4. Не переоцінювати автентифікацію. SPF, DKIM і DMARC корисні для ухвалення рішення, але не мають перекривати сигнали про шкідливий вміст чи небезпечне призначення.
5. Враховувати хибнопозитивні спрацювання. Блокування загроз важливе, однак блокування легітимної пошти створює окремий операційний ризик. 35

Результати продуктів: розрив був значним

За оприлюдненими зведеними результатами, найсильніші рішення досягли майже стовідсоткового загального рівня виявлення, але показники були нерівномірними. Net at Work NoSpamProxy отримав фінальний бал 99,995 без хибнопозитивних спрацювань; Bitdefender GravityZone Premium — 99,994; SEPPmail.cloudfilter — 99,985. Для Rspamd повідомлявся результат 62,5%. 35

Ці цифри відображають конкретний порівняльний тест, а не є універсальною гарантією для будь-якої організації. Проте різниця підкреслює практичний висновок: протидія автентифікованим відправникам, замаскованим URL і умовним браузерним сценаріям потребує багаторівневої перевірки, а не опори на один засіб захисту. 135

Висновок

Матеріали про VBSpam Q3 2026 описують модель фішингу, за якої лист на момент доставки може виглядати прийнятно, а шахрайство проявляється лише після того, як браузер адресата відповідає певним умовам. Автентифікація відправника залишається необхідною базовою практикою, але рішення про безпеку має охоплювати весь шлях — від листа до фінальної вебсторінки. 35