Vývoj e-mailového spamu

První spamový e-mail poslal Gary Thuerk v roce 1978 přibližně 400 lidem. E-mail obsahoval brožuru o počítačích DECSYSTEM-20. Byl neuvěřitelně úspěšný a vygeneroval tržby kolem 13 milionů dolarů. Zároveň otevřel e-mail jako nový kanál pro oslovování zákazníků a prodej produktů.

Na e-mailový spam se lze dívat dvěma způsoby.

1. Přijde vám do schránky, kliknete na smazat, tak o co jde?

2. Mezinárodní hra na kočku a myš, v níž vaše doručená pošta a to, co do ní přichází, stojí v první linii, zatímco velké technologické firmy, vládní agentury a zločinecké organizace bojují o vaši bezpečnost, vaši pozornost a váš bankovní účet.

Ten druhý pohled může znít dramaticky, ale pokud vám ušetří pár starostí a možná i nějaké peníze, stojí za to mu porozumět, ne?

No… všechno to začíná vtipem o konzervě s masem.

Co je spamový e-mail a proč se mu říká spam?

Spam může mít mnoho podob: reklamy, podvody, nevyžádané newslettery, a tak dále. Jedna věc ale pro spam neplatí: nikdo ho nezval. Stejně jako hejno komárů, které přiletí při první zmínce o létě, přichází spam téměř vždy hromadně. Je nevyžádaný, nežádoucí a pěkně otravný.

Ale proč sdílí své jméno s konzervou z vepřové plece a šunky? Za to můžeme poděkovat slavnému skeči Monty Python, v němž se slovo „spam“ opakovalo znovu a znovu, téměř k zešílení. Tím se „spam“ upevnil jako symbol neustálého a nechtěného. V roce 1993 si tuto myšlenku jeden bystrý uživatel internetu vypůjčil a popsal záplavu opakovaných příspěvků jako spam, a voilà, název se uchytil.

Ale navzdory svému zvláštnímu původu samotné slovo nevystihuje, jak škodlivý spam může být – ani jak těžké je se ho zbavit. Stejně jako komáři i spamové e-maily často přenášejí nebezpečný obsah, který může napáchat spoušť na vašich zařízeních. Nemluvě o riziku pro vaše osobní údaje a migréně, kterou může způsobit schránka zaplavená pochybnými reklamami. Porozumění historii ale pomáhá. Pokud pochopíte, jak si spam nachází cestu do vaší schránky, budete ho umět lépe držet venku.

Kdy byl odeslán první spamový e-mail?

Odkud se tedy spamová pošta bere? Možná vás překvapí, že první spamový e-mail byl odeslán ještě předtím, než vůbec existoval internet. Nepřišel od nějaké temné zločinecké skupiny, ale od jediného marketéra, který se snažil prodat novou řadu počítačů, a věřte nebo ne, vydělal na tom miliony.

V roce 1978 poslal marketingový manažer Gary Thuerk e-mail přibližně 400 lidem prostřednictvím ARPANETu, vojenské sítě, která předcházela internetu. Jeho zpráva byla pozvánkou na prezentaci nových počítačů DECSYSTEM-20. E-mail přinesl tržby asi 13 milionů dolarů, ale zároveň naštval téměř každého, kdo ho dostal.

Nejzajímavější částí tohoto příběhu z historie spamu není to, kdy byl e-mail odeslán, ale dvojsečná zbraň, která za e-mailovým spamem stojí. Na jedné straně jsou z reklam rozesílaných stovkám, tisícům nebo dokonce milionům lidí k vydělání závratné částky. Na druhé straně je spam zcela zjevně otravný. Bohužel právě tento vztah přitažlivosti a odporu bude spam provázet po celou jeho bouřlivou historii.

Jak se spam v průběhu desetiletí vyvíjel?

Pokud jste měli to štěstí vyrůstat v éře ochrany od Googlu a Microsoftu, možná si nepamatujete rané dny internetu, kdy bylo odstraňování spamu z doručené pošty spíše ruční záležitostí.

Časová osa vývoje e-mailového spamu

80. a 90. léta: Divoký západ e-mailu

V roce 1983, rok před předpovědí George Orwella o totalitním superstátu, se začalo formovat něco zcela jiného. Poprvé bylo možné propojit více nezávislých sítí mezi sebou, čímž vznikl základ dnešní globální sítě sítí, neboli internetu, jak mu rádi říkáme.

Během následujícího desetiletí se online připojily miliony nových uživatelů a začaly si zakládat e-mailové adresy. Neexistovala žádná centrální autorita, která by řekla: „tohle dělat nemůžete“, a e-mail tak v podstatě mohl sloužit jako bezplatný reklamní kanál. Jedna zpráva rozeslaná tisícům, dokonce milionům lidí, téměř bez nákladů.

Jaký byl výsledek? V 90. letech spam explodoval a stejně tak i snahy ho kontrolovat. V roce 1994 spustili právníci Canter & Siegel svou nechvalně proslulou reklamu „Green Card Lottery“ napříč tisíci skupinami Usenetu, což je často považováno za první velkou komerční spamovou kampaň. Obrana na sebe nenechala dlouho čekat. Mail Abuse Prevention System (MAPS) zavedl v roce 1996 první Real-time Blackhole List, který blokoval poštu ze známých spamových serverů, a skupiny jako Spamhaus vytvářely blokovací seznamy a sdílely informace, aby spammery udržely mimo hru.

2000s: Desetiletí, kdy spam potemněl

Nultá léta možná znamenala konec tisíciletí, ale pro mnohé to byl skutečný začátek éry otravných e-mailů zaplavujících schránky. Google, Yahoo a Microsoft se všichni přidali k tažení proti spamu. Už ale nešlo o laciné reklamy nebo schémata rychlého zbohatnutí, spam začal být temnější. Spammeři začali používat „botnety“, tedy sítě infikovaných počítačů, k rozesílání spamu v masivním měřítku.

Vlády se rozhodly, že je čas zasáhnout. V roce 2003 USA zavedly zákon CAN-SPAM Act (Controlling the Assault of Non-Solicited Pornography and Marketing). Ten nutil spammery respektovat žádosti o odhlášení a vyhýbat se klamavým předmětům zpráv, háček ale byl v tom, že odpovědnost stále ležela na příjemcích, aby se odhlásili. Evropa na to šla přísněji. EU zavedla systém opt-in pro e-mailový marketing, což znamenalo, že společnosti nemohly posílat komerční e-maily bez předchozího souhlasu.

Nultá léta znamenala skutečný rozmach hry na kočku a myš, která začala spam definovat. Spammeři vymýšleli nové triky a obránci hledali způsoby, jak jim čelit. Vezměme si například bayesovské filtrování: prochází slova v e-mailu, počítá pravděpodobnosti a rozhoduje, zda jde o nevyžádanou poštu, nebo o legitimní zprávu. Když se poprvé objevilo, znamenalo průlom v tom, jak mohli poskytovatelé e-mailu proti spamu zakročit. V roce 2004 Bill Gates dokonce předpověděl, že problém spamu bude do dvou let vyřešen. Ale jako vždy se spammeři rychle přizpůsobili.

Příklady spamové přestřelky v praxi:

Moderní éra: Když se spam naučil myslet

Stephen Hawking kdysi varoval, že lidé by jednou mohli být pro AI tím, čím jsou psi pro lidi, což je střízlivá představa. A i když to může znít ponuře, není přehnané říct, že vzestup AI může být stejně převratný jako vynález parního stroje. Není tedy divu, že AI formuje boj mezi těmi, kdo se snaží na spamu vydělat, a těmi, kdo se ho snaží kontrolovat. Rozdíl je v tom, že na rozdíl od tradičních spamových filtrů se AI dokáže učit a přizpůsobovat.

Ironií je, že podvodníci používají ke zlepšování svých spamových e-mailů stejné nástroje, jaké vysokoškoláci používají k tomu, aby zvládli zkoušky. Před nástroji AI byly spamové e-maily plné překlepů, gramatických chyb a zjevných varovných signálů. Dnes lze díky velkým jazykovým modelům hromadně rozesílat spamové e-maily s bezchybnou gramatikou, lokalizovaným tónem a personalizovanými lákadly. Místo rozesílání 10’000 totožných e-mailů mohou podvodníci poslat 10’000 mírně odlišných e-mailů a vyhnout se filtrům. Tím, že text nechají projít modely simulujícími spamové skórování, mohou útočníci své zprávy upravovat, dokud nebudou působit „bezpečně“.

Totéž dělají i e-mailoví giganti. Používají AI a strojové učení nejen ke skenování obsahu, ale také k analýze chování odesílatele, síťových signálů a dokonce i kontextu zpráv. Gmail například dnes dokáže rozpoznat podezřelé vzorce, jako jsou náhlé vlny e-mailů z nových domén nebo obsah napodobující známé phishingové návnady, a v reálném čase se přizpůsobit tak, aby nové spamové kampaně zastavil.

Jaký dopad měl spam na e-mail a firmy?

Když se vrátíme k příběhu o původu spamové pošty a jejímu jménu podle Monty Python, téma bylo jednoduché: otravnost. Tehdy byl přesně takto vnímán většinou lidí. Ale v následujících desetiletích se stal mnohem nebezpečnějším. Kliknutí na špatný odkaz dnes může znamenat viry nebo vážnou finanční ztrátu.

A nejde jen o jednotlivce. Od roku 2000 podvodníci vymysleli propracované způsoby, jak útočit na větší cíle. Mnohá z těchto schémat mají dokonce chytlavé přezdívky, které zlehčují, jak vážné mohou být jejich následky.

Příklady spamu zaměřeného na firmy:

Hromadný spam a podvody – Hromadné e-maily stále denně zaplavují schránky, od otravných reklam po falešné loterie nebo schémata „nigerijského prince“. Jsou to útoky nižší úrovně, ale zahlcují schránky a stále mohou oklamat zaměstnance.

Phishingové e-maily – Vydávají se za důvěryhodné značky a lákají uživatele na falešné weby. Tyto phishingové e-maily byly kdysi neohrabané, dnes jsou však propracované, automatizované a těžko rozeznatelné od skutečných.

Spear phishing a whaling – Cílené útoky využívající skutečná jména nebo projekty k oklamání konkrétních zaměstnanců. Když míří na vedoucí pracovníky, říká se tomu „whaling“ a zisk může být obrovský.Business Email Compromise (BEC) – Zločinci se vydávají za generální ředitele, dodavatele nebo HR, aby přiměli zaměstnance k převodu peněz nebo odeslání dat.

Malware a ransomware – Spam často obsahuje škodlivé přílohy nebo odkazy. Jediné kliknutí může spustit viry nebo ransomware, zablokovat celé systémy a stát firmy miliony.

Skutečné nebezpečí ale spočívá v rozsahu následků. Spam ve velkém měřítku plýtvá časem. Zaměstnanci znovu a znovu zpochybňují e-maily nebo manažeři prověřují falešné poplachy. To všechno ukrajuje z produktivity.

Kolik spam skutečně stojí

FBI odhaduje, že samotný Business Email Compromise způsobil ztráty přes 50 miliard dolarů mezi lety 2013 a 2022. Proto se boj proti spamu neustále vyvíjí. Filtry dnes nehledí jen na klíčová slova, ale zkoumají i vzorce, přílohy a dokonce chování odesílatele. Zákony jako CAN-SPAM a GDPR stanovují pravidla pro souhlas a transparentnost. A poskytovatelé e-mailu přidali ochrany jako SPF, DKIM a DMARC, díky nimž je pro útočníky mnohem těžší vydávat se za někoho jiného.

Jak dnes bojujeme proti spamu?

Moderní spamové filtry jsou poháněny AI a strojovým učením. Dokážou analyzovat chování odesílatele i kontext zprávy a poté se v reálném čase přizpůsobovat.

Přesto je informovanost stále důležitá. I s nejlepšími spamovými filtry se školení zaměstnanců musí stát klíčovou součástí zastavení spamu.

Jak se chránit před spamovými e-maily

V dnešní době firmy provozují pravidelné programy zvyšování povědomí, které učí lidi zpomalit, rozpoznat varovné signály nebo si před jednáním ověřit požadavky. Některé z nich zahrnují:

Než kliknete, přemýšlejte

Osvědčená rada zde stále platí. Pokud jste dostali e-mail, který jste nečekali, a neznáte odesílatele, neklikejte na náhodný odkaz. Na počítači můžete na odkaz najet kurzorem, na mobilu ho podržet a nejprve si zobrazit skutečný cíl. Pokud se adresa odkazu a skutečná adresa liší, je to varovný signál.

Pokud se přece jen rozhodnete kliknout na odkaz v e-mailu, nenechte se zmást visacím zámkem vedle URL, neznamená to, že je web bezpečný. Zámek pouze potvrzuje, že někdo připojení zašifroval. Bohužel i phishingový web může získat SSL certifikát stejně snadno jako legitimní web.

Ověřte odesílatele 

Zobrazované jméno v e-mailu není vždy skutečnou identitou odesílatele. Je to proto, že ho může kdokoli změnit na něco úplně jiného. Chcete-li ověřit skutečnou identitu, musíte zkontrolovat přesnou e-mailovou adresu, ze které e-mail přišel.

Někdy je to zřejmé, například když e-mail přijde z levné, jednorázové bezplatné schránky. Ale ne vždy je to tak snadné. Útočníci často e-maily maskují změnou několika znaků, například @p4ypal.com. Pokud si nejste jistí, zda je e-mail pravý, je nejlepší obrátit se na oficiální komunikační kanály.

Vyberte si poskytovatele se SPF, DKIM, DMARC

Pokud jde o spam, SPF, DKIM a DMARC jsou zlatým standardem e-mailové autentizace. Jsou nejlepším způsobem, jak zjistit, zda e-maily odeslané z vaší domény skutečně pocházejí od vás, nebo od podvodníka. SPF kontroluje, zda e-mail přišel ze serveru, který smí odesílat vaším jménem. DKIM přidává podpis odolný proti manipulaci, takže zprávu nelze cestou nenápadně změnit. DMARC obojí propojuje a říká přijímajícímu serveru, co má dělat, když zpráva kontrolou neprojde.

Dobrá zpráva je, že nic z toho nemusíte nastavovat ručně. Dobrý poskytovatel e-mailu by to měl udělat za vás. Až si tedy budete vybírat, kde hostovat svůj e-mail, hledejte takového, který standardně podporuje SPF, DKIM a DMARC.

Používejte 2FA

2FA přidává vašemu účtu druhou vrstvu zabezpečení. Znamená to dvoufaktorové ověřování a v zásadě to znamená prokázat, kdo jste, pomocí dvou věcí místo jedné. První je vaše heslo, druhou může být telefon, autentizační aplikace, otisk prstu nebo bezpečnostní klíč.

To znamená, že pokud je vaše heslo odcizeno, útočník se bez druhé formy ověření do vašeho účtu nedostane. Jakékoli 2FA je lepší než žádné 2FA. Hledejte poskytovatele e-mailu, kteří ho nabízejí, a zapněte ho všude, kde můžete, počínaje svým e-mailem.

Buďte opatrní s přílohami

Lidé jsou zvědaví a útočníci toho využívají. Nejlepší způsob, jak se můžete chránit, je neotevírat e-mailové přílohy, které jste nečekali. Platí to i tehdy, když jsou od někoho, koho znáte. Účty totiž bývají často převzaty a odesílatelé podvrženi.

Vždy zacházejte s PDF, dokumenty Word a Excel, archivy ZIP a RAR, soubory HTML, obrazy disků ISO a zejména soubory .exe se zvýšenou opatrností. Pokud si nejste jistí, potvrďte si se odesílatelem přes samostatný kanál, než cokoli otevřete.

Udržujte svůj tým proškolený

Nakonec jsou při útocích poslední linií obrany lidé. Filtry, autentizace a kontrola příloh toho zastaví hodně, ale všechny zprávy, které projdou, jsou navrženy tak, aby oklamaly člověka.

Právě zde může školení znamenat obrovský rozdíl. Zásadní je, aby firmy školily na dnešní útoky, ne na ty včerejší. To znamená návnady psané AI bez překlepů, deepfake hlas a video a podvody přes SMS, QR kódy a MFA výzvy, nejen přes e-mail.