VBSpam Q3 2026：认证邮件不等于安全邮件

一封通过 SPF、DKIM 或 DMARC 验证的邮件，是否就值得信任？Virus Bulletin（VB）2026 年第三季度 VBSpam 对比测试所反映的答案是：不能这么判断。

据相关报道，这项按 AMTSO 测试计划开展、持续 16 天的测试共评估 103,969 封邮件，其中 103,380 封为垃圾邮件。攻击者越来越多地使用看似正常的投递基础设施，同时将真正的恶意行为放到浏览器打开链接之后：通过多级跳转、访问者识别和条件化页面展示，把风险藏在初始邮件与静态链接检测难以完整观察的位置。13

认证验证的是什么，而不验证什么

SPF、DKIM 和 DMARC 是邮件安全的重要基础机制：它们可帮助验证发送路径、签名以及域名对齐等信息。

但这些机制不能证明邮件正文没有恶意，不能保证其中的链接安全，也不能证明经过多次重定向后最终打开的网站真实可信。攻击者若使用合法或看似受信任的发送服务，仍可让邮件在技术认证层面表现正常，再把钓鱼页面的触发条件留给网页端执行。35

三类被点名的钓鱼手法

1. 借 Amazon SES 投递的“逾期付款”诱饵

报道称，一场德语钓鱼活动以“逾期付款”为主题，经 Amazon SES 发送，且使用了 DKIM 对齐域名。邮件没有依赖附件，而是在 HTML 中加入诱饵标记、隐藏文本、零尺寸 iframe 以及混淆的 JavaScript。35

点击链接后，页面会识别浏览器和时区信息，发起隐藏的 POST 请求；符合特定条件的访问者随后会被跳转至 OpenSea。报道认为，这一链路与经伪装的加密货币或 NFT 欺诈相符，也使得只检查邮件原文或首个 URL 的分析方式更难看清风险。35

2. 冒充 McAfee、TotalAV 的续费诈骗

另一场荷兰语活动冒充 McAfee 和 TotalAV，向收件人警告发现“631 种危险病毒”，并推销折扣续费服务。它同样主要依靠 HTML 社会工程内容，而非传统恶意附件。35

其关键规避手段在于：最终页面会随时间、位置或被判断的受害者画像而变化。自动化扫描器可能看到无害页面、错误信息，或与目标收件人不同的跳转路径；报道将其目的指向订阅欺诈。35

3. 冒充 BCR S.A. 的 PSD2 同意续期邮件

报道称，一封罗马尼亚语钓鱼邮件冒充 BCR S.A.，声称收件人必须更新 PSD2 同意授权。PSD2 是欧盟支付服务监管框架，围绕银行账户和支付服务的授权流程很容易被伪造成“必须立即处理”的金融通知。

该活动使用 IPv6 映射地址隐藏目标地址，这种 URL 混淆方式可能增加解析器和扫描工具分析链接的难度。以“银行授权续期”为名施压，也很适合诱导用户交出账户登录凭据。3

为什么静态检查越来越不够用

这些案例显示，钓鱼逻辑正在从邮件本身迁移到浏览器会话中：

• HTML 与 JavaScript 可混淆邮件原始结构；
• 重定向链把投递时的 URL 与最终页面分离；
• 浏览器、时区、位置和访问时间等条件可用于区分真实目标与自动化分析系统；
• 条件化响应可让最危险的内容避开简单的沙箱检测或信誉查询。35

这不意味着应放弃邮件认证，而是意味着认证结果应当被放在更完整的风险判断中：同时评估邮件内容、发件方信誉、链接行为和最终落地页风险。35

防护重点：检查完整链路，而非只看第一道信号

从测试所呈现的攻击方式看，邮件安全防护可重点关注以下环节：

1. 规范化混淆 URL：在进行信誉或策略判断前，先解码并统一异常地址表达形式。
2. 追踪完整跳转链：不要只检查原始链接，还应评估每一次跳转及最终落地页。
3. 分析浏览器端行为：识别条件跳转、浏览器指纹识别、隐藏请求等网页执行后才出现的行为。
4. 正确看待认证信号：SPF、DKIM、DMARC 可支持信任决策，但不应覆盖内容或目标站点已经显现的恶意信号。
5. 同时衡量误报：拦截能力很重要，但若大量阻断正常邮件，也会带来业务风险。35

测试结果：领先产品表现接近满分，但差距很大

报道所列的综合结果显示，表现最好的产品可实现极高检测水平，但各产品之间并不均衡：Net at Work NoSpamProxy 的最终得分为 99.995，且没有误报；Bitdefender GravityZone Premium 为 99.994；SEPPmail.cloudfilter 为 99.985；Rspamd 则为 62.5%。35

这些数字仅代表该次对比测试中的表现，并不构成任何实际部署环境下的普遍保证。不过，较大的分差确实强化了一个现实结论：面对认证发件方、混淆 URL 和浏览器端条件跳转，不能依赖单一控制措施，而需要分层、联动地检查邮件到网页落地页的完整路径。135

结论

VBSpam 2026 年第三季度测试相关报道揭示了一种明确趋势：攻击者可以让邮件在投递时看起来“合规可信”，再仅向满足特定条件的浏览器展示真正的诈骗内容。

因此，发件人认证依然必要，但它只是邮件安全判断的一项信号。真正的安全决策，应延伸到完整的重定向链，以及用户最终会看到的网页体验。35