Utvecklingen av e-postspam

Det första skräppostmeddelandet skickades av Gary Thuerk år 1978 till omkring 400 personer. Mejlet innehöll en broschyr för datorerna DECSYSTEM-20. Det blev otroligt framgångsrikt och genererade omkring 13 miljoner dollar i försäljning. Det öppnade också upp e-post som en ny kanal för att nå kunder och sälja produkter.

Det finns två sätt att se på skräppost via e-post.

1. Det hamnar i din inkorg, du klickar på radera, vad är det stora problemet?

2. Ett internationellt katt-och-råtta-spel där din inkorg, och det som hamnar i den, befinner sig vid frontlinjen när techjättar, myndigheter och kriminella organisationer kämpar om din säkerhet, din uppmärksamhet och ditt bankkonto.

Det andra perspektivet kanske låter dramatiskt, men om det kan spara dig några huvudbryn och kanske till och med lite pengar, är det värt att förstå, eller hur?

Tja … allt börjar med ett skämt om en burk konserverat kött.

Vad är ett skräppostmejl, och varför kallas det spam?

Det finns mycket som skräppost är, annonser, bedrägerier, skräpnyhetsbrev, listan kan göras lång. Men det enda skräppost inte är, är inbjuden. Som en svärm myggor som dyker upp så fort någon nämner sommaren kommer skräppost nästan alltid i stora mängder. Den är oombedd, oönskad och riktigt irriterande.

Men varför delar det namn med en burk konserverat kött gjort av fläskbog och skinka? För det kan vi tacka en berömd Monty Python-sketch, där ordet ”spam” upprepades om och om igen, nästan till vansinnets gräns. Det befäste ”spam” som en symbol för det ihärdiga och oönskade. År 1993 tog en smart internetanvändare fasta på idén och beskrev en flod av upprepade inlägg som spam, och voilà, namnet fastnade.

Men trots sitt udda ursprung fångar ordet i sig inte hur skadlig skräppost kan vara – eller hur svårt det är att bli av med den. Precis som myggor bär skräppostmejl ofta på farligt innehåll som kan orsaka stor skada på dina enheter. För att inte tala om risken för dina personuppgifter och huvudvärken som kan komma av att ha inkorgen översvämmad av skumma annonser. Men det hjälper att förstå historien. Om du kan förstå hur skräppost hittar in i din inkorg kommer du att bli bättre på att hålla den ute.

När skickades det första skräppostmejlet?

Så var kommer skräppost från? Du kanske blir förvånad över att få veta att det första skräppostmejlet skickades innan internet ens existerade. Det kom inte från någon skum kriminell grupp, utan från en ensam marknadsförare som försökte sälja en ny serie datorer, och tro det eller ej, det drog in miljoner.

År 1978 skickade marknadschefen Gary Thuerk ett mejl till omkring 400 personer via ARPANET, det militära nätverk som fanns före internet. Hans meddelande var en inbjudan till en presentation om de nya datorerna DECSYSTEM-20. Mejlet drog in omkring 13 miljoner dollar i försäljning, men irriterade också nästan alla som fick det.

Den mest intressanta delen av den här berättelsen ur skräppostens historia är inte när mejlet skickades, utan det tveeggade svärd som ligger bakom skräppost via e-post. Å ena sidan finns det svindlande summor pengar att tjäna på annonser som skickas till hundratals, tusentals eller till och med miljontals människor. Men skräppost är uppenbart irriterande. Tyvärr är detta dragkampen som kommer att följa skräpposten genom dess turbulenta historia.

Hur har skräppost utvecklats genom årtiondena?

Om du har haft turen att växa upp under eran med skydd från Google och Microsoft kanske du inte minns internets tidiga dagar, då det var mer av en manuell uppgift att få bort skräppost ur inkorgen.

Tidslinje över skräppostens utveckling

1980–1990-talet: e-postens vilda västern

1983, ett år före George Orwells förutsägelse om en totalitär superstat, höll något helt annat på att ta form. För första gången blev det möjligt för flera oberoende nätverk att ansluta till varandra, vilket skapade grunden för dagens globala nätverk av nätverk, eller internet som vi brukar kalla det.

Under det följande årtiondet gick miljontals nya användare online och började skapa e-postadresser. Det fanns ingen central myndighet som kunde säga ”det där får du inte göra”, och e-post kunde i princip fungera som en gratis reklamkanal. Ett enda meddelande kunde skickas ut till tusentals, till och med miljontals, människor till nästan ingen kostnad alls.

Vad blev resultatet? På 1990-talet exploderade skräpposten, och det gjorde även försöken att kontrollera den. År 1994 lanserade advokaterna Canter & Siegel sin ökända annons ”Green Card Lottery” i tusentals Usenet-grupper, ofta betraktad som den första stora kommersiella skräppostkampanjen. Försvaren kom snart därefter. Mail Abuse Prevention System (MAPS) rullade ut den första Real-time Blackhole List år 1996, som blockerade mejl från kända skräppostservrar, och grupper som Spamhaus byggde blockeringslistor och delade underrättelser för att hålla spammare borta.

2000-talet: årtiondet då skräpposten blev mörk

2000-talet kan ha markerat slutet på millenniet, men för många var det den verkliga början på irriterande mejl som översvämmade inkorgarna. Google, Yahoo och Microsoft hoppade alla på tåget för att stoppa skräppost. Men det handlade inte längre om töntiga annonser eller bli-rik-snabbt-upplägg, skräpposten blev mörkare. Spammare hade börjat använda ”botnät”, nätverk av infekterade datorer, för att skicka ut skräppost i enorm skala.

Regeringar bestämde sig för att det var dags att ingripa. År 2003 införde USA CAN-SPAM Act (Controlling the Assault of Non-Solicited Pornography and Marketing). Den tvingade spammare att respektera begäran om avregistrering och undvika vilseledande ämnesrader, men haken var att ansvaret fortfarande låg på mottagarna att avprenumerera. Europa gick däremot längre. EU införde ett opt-in-system för e-postmarknadsföring, vilket innebar att företag inte kunde skicka kommersiella mejl utan att först få tillstånd.

2000-talet markerade den verkliga explosionen av det katt-och-råtta-spel som kom att definiera skräppost. Spammare uppfann nya knep, och försvarare hittade sätt att motverka dem. Ta Bayesisk filtrering som exempel, den skannar orden i ett mejl, räknar på sannolikheterna och avgör om det är skräp eller äkta. När den först kom var det ett genombrott i hur e-postleverantörer kunde slå ner på skräppost. År 2004 förutspådde Bill Gates till och med att skräppostproblemet skulle vara löst inom två år. Men som alltid var spammare snabba med att anpassa sig.

Exempel på skräppostens fram-och-tillbaka i praktiken:

Den moderna eran: när skräppost lärde sig tänka

Stephen Hawking varnade en gång för att människor en dag skulle kunna vara för AI vad hundar är för människor, en tankeställare. Och även om det kan låta dystert är det ingen överdrift att säga att AI:s framväxt kan vara lika omvälvande som uppfinningen av ångmaskinen. Det är därför inte konstigt att AI formar striden mellan dem som försöker tjäna pengar på skräppost och dem som försöker kontrollera den. Skillnaden är att AI, till skillnad från traditionella skräppostfilter, kan lära sig och anpassa sig.

Ironin här är att bedragare använder samma verktyg för att förbättra sina skräppostmejl som universitetsstudenter använder för att klara sina tentor. Före AI-verktyg var skräppostmejl fulla av stavfel, grammatiska misstag och uppenbara varningssignaler. Nu kan skräppostmejl med felfri grammatik, lokaliserad ton och personliga krokar tack vare stora språkmodeller skickas ut i massor. I stället för att skicka 10’000 identiska mejl kan bedragare skicka 10’000 lite olika mejl och undvika filter. Genom att köra text genom modeller som simulerar skräppostpoäng kan angripare justera sina meddelanden tills de verkar ”säkra”.

E-postjättarna gör samma sak. De använder AI och maskininlärning inte bara för att skanna innehåll, utan också för att analysera avsändarbeteende, nätverkssignaler och till och med meddelandenas sammanhang. Gmail kan till exempel nu upptäcka misstänkta mönster, som plötsliga utbrott av mejl från nya domäner eller innehåll som efterliknar kända nätfiskebeten, och anpassa sig i realtid för att stoppa nya skräppostkampanjer.

Vilken påverkan har skräppost haft på e-post och företag?

Om vi går tillbaka till skräppostens ursprungshistoria och dess namne från Monty Python var temat enkelt: irriterande. Då var det precis så de flesta såg på skräppost. Men under årtiondena sedan dess har den blivit mycket farligare. Att klicka på fel länk kan nu innebära virus eller allvarlig ekonomisk förlust.

Och det är inte bara privatpersoner som riskerar något. Sedan 2000-talet har bedragare hittat på avancerade sätt att ge sig på större mål. Många av dessa upplägg har till och med slagkraftiga smeknamn som tonar ner hur allvarliga konsekvenserna faktiskt kan bli.

Exempel på skräppost riktad mot företag:

Massutskick av skräppost och bedrägerier – Massmejl översvämmar fortfarande inkorgar varje dag, från irriterande annonser till falska lotterier eller ”nigeriansk prins”-upplägg. De är på låg nivå men skapar oreda i inkorgar och kan fortfarande lura anställda.

Nätfiskemejl – Utger sig för att vara betrodda varumärken och lockar användare till falska webbplatser. Dessa nätfiskemejl var en gång klumpiga, men är nu välgjorda, automatiserade och svåra att skilja från det äkta.

Spear phishing och whaling – Riktade attacker som använder riktiga namn eller projekt för att lura specifika anställda. När de riktas mot chefer kallas det ”whaling”, och vinsten kan bli enorm.Business Email Compromise (BEC) – Brottslingar utger sig för att vara vd:ar, leverantörer eller HR för att lura personal att överföra pengar eller skicka data.

Skadlig kod och ransomware – Skräppost innehåller ofta skadliga bilagor eller länkar. Ett enda klick kan släppa lös virus eller ransomware, låsa hela system och kosta företag miljontals dollar.

Men den verkliga faran ligger i konsekvensernas omfattning. Skräppost slösar tid i enorm skala. Anställda som tvivlar på mejl eller chefer som utreder falsklarm. Allt detta urholkar produktiviteten.

Vad skräppost verkligen kostar

FBI uppskattar att enbart Business Email Compromise har kostat över 50 miljarder dollar mellan 2013 och 2022. Därför fortsätter kampen mot skräppost att utvecklas. Filter tittar nu bortom nyckelord för att skanna mönster, bilagor och till och med avsändarbeteende. Lagar som CAN-SPAM och GDPR sätter regler kring samtycke och transparens. Och e-postleverantörer har lagt till skydd som SPF, DKIM och DMARC, vilket gör det mycket svårare för angripare att utge sig för att vara någon de inte är.

Hur bekämpar vi skräppost i dag?

Moderna skräppostfilter drivs av AI och maskininlärning. De kan analysera avsändarbeteende och meddelandets sammanhang och sedan anpassa sig i realtid.

Men medvetenhet är fortfarande viktigt. Även med de bästa skräppostfiltren behöver utbildning av anställda bli en viktig del av att stoppa skräppost.

Så skyddar du dig mot skräppostmejl

Nuförtiden har företag regelbundna informationsprogram som lär människor att sakta ner och upptäcka varningssignaler, eller att verifiera förfrågningar innan de agerar. Några av dessa inkluderar:

Tänk innan du klickar

Beprövade råd gäller fortfarande här. Om du har fått ett mejl som du inte väntade dig och du inte känner avsändaren, klicka då inte på en slumpmässig länk. Du kan hålla muspekaren över länken på datorn eller långtrycka på mobilen för att först förhandsgranska den verkliga destinationen. Om länkadressen och den verkliga adressen är olika är det en varningssignal.

Om du ändå bestämmer dig för att klicka på en länk i ett mejl, låt dig inte luras av ett hänglås bredvid URL:en, det betyder inte att webbplatsen är säker. Hänglåset bekräftar bara att någon har krypterat anslutningen. Tyvärr kan en nätfiskewebbplats få ett SSL-certifikat lika lätt som en legitim webbplats.

Verifiera avsändaren 

Visningsnamnet i ett mejl är inte alltid avsändarens verkliga identitet. Det beror på att vem som helst kan ändra det till något helt annat. För att verifiera den verkliga identiteten måste du kontrollera den exakta e-postadress som mejlet kom från.

Ibland är detta uppenbart, till exempel om mejlet kommer från en billig, tillfällig gratisadress. Men det är inte alltid så enkelt. Angripare maskerar ofta mejl genom att ändra några få tecken, som @p4ypal.com. Om du är osäker på om mejlet är äkta är det bäst att kontakta de officiella kommunikationskanalerna.

Välj en leverantör med SPF, DKIM, DMARC

När det gäller skräppost är SPF, DKIM och DMARC guldstandarden för e-postautentisering. De är det bästa sättet att avgöra om mejl som skickas från din domän verkligen kommer från dig eller från en bedragare. SPF kontrollerar att mejlet kom från en server som har tillåtelse att skicka för din räkning. DKIM lägger till en manipulationssäker signatur så att meddelandet inte kan ändras i smyg på vägen. DMARC knyter ihop de två och talar om för den mottagande servern vad den ska göra när ett meddelande inte klarar kontrollen.

Den goda nyheten är att du inte behöver ställa in något av detta manuellt. En bra e-postleverantör bör göra det åt dig. Så när du väljer var du ska hosta din e-post, leta efter en som stöder SPF, DKIM och DMARC som standard.

Använd 2FA

2FA lägger till ett andra säkerhetslager till ditt konto. Det står för tvåfaktorsautentisering och betyder i princip att du bevisar vem du är med två saker i stället för en. Den första är ditt lösenord, den andra kan vara din telefon, en autentiseringsapp, ett fingeravtryck eller en säkerhetsnyckel.

Det betyder att om ditt lösenord blir stulet kan angriparen inte komma åt ditt konto utan att ha den andra formen av autentisering. All 2FA är bättre än ingen 2FA. Leta efter e-postleverantörer som erbjuder det och slå på det överallt där du kan, med början i din e-post.

Var försiktig med bilagor

Människor är nyfikna, och angripare utnyttjar det. Det bästa sättet att skydda dig är att undvika att öppna e-postbilagor som du inte väntade dig. Detta gäller även om de kommer från någon du känner. Det beror på att konton ofta kapas och avsändare förfalskas.

Var alltid extra försiktig med PDF-filer, Word- och Excel-dokument, ZIP- och RAR-arkiv, HTML-filer, ISO-diskavbilder och särskilt .exe-filer. Om du är osäker, bekräfta med avsändaren via en separat kanal innan du öppnar något.

Se till att ditt team är utbildat

I slutändan är människor den sista försvarslinjen när det gäller attacker. Filter, autentisering och skanning av bilagor stoppar mycket, men alla meddelanden som tar sig igenom är utformade för att lura en person.

Det är här utbildning kan göra enorm skillnad. Avgörande är att företag bör utbilda för dagens attacker, inte gårdagens. Det betyder AI-skrivna lockbeten utan stavfel, deepfake-röst och -video samt bedrägerier via SMS, QR-koder och MFA-uppmaningar, inte bara e-post.