Az e-mailes spam fejlődése

Az első spam e-mailt Gary Thuerk küldte 1978-ban körülbelül 400 embernek. Az e-mail egy brosúrát tartalmazott a DECSYSTEM-20 számítógépekről. Elképesztően sikeres volt, és körülbelül 13 millió dollárnyi eladást hozott. Emellett új csatornaként nyitotta meg az e-mailt az ügyfelek elérésére és a termékek értékesítésére.

Kétféleképpen lehet tekinteni az e-mailes spamre.

1. Megérkezik a bejövő leveleid közé, rákattintasz a törlésre, mi ebben a nagy ügy?

2. A macska-egér játék nemzetközi változata, ahol a bejövő leveleid és az, ami oda érkezik, a frontvonalban áll, miközben a nagy techcégek, kormányzati szervek és bűnszervezetek a biztonságodért, a figyelmedért és a bankszámládért harcolnak.

A második nézőpont drámainak hangozhat, de ha megspórol neked néhány fejfájást, és talán még némi pénzt is, akkor érdemes megérteni, nem?

Nos… minden egy konzervhúsos viccel kezdődik.

Mi az a spam e-mail, és miért hívják spamnek?

Sok minden lehet spam: hirdetések, csalások, kéretlen hírlevelek, a sort még hosszan lehetne folytatni. De egy dolog biztosan nem a spam: nem meghívott. Mint a szúnyograj, amely a nyár első említésére megérkezik, a spam szinte mindig tömegesen érkezik. Kéretlen, nem kívánt, és eléggé idegesítő.

De miért osztozik a nevén egy sertéslapockából és sonkából készült konzervhússal? Ezért egy híres Monty Python-jelenetnek lehetünk hálásak, amelyben a „spam” szót újra és újra ismételgették, szinte az őrületig. Ez megszilárdította a „spam” jelentését mint a tolakodó és nem kívánt dolgok szimbólumát. 1993-ban egy leleményes internethasználó ezt az ötletet felhasználva a megismételt bejegyzések áradatát spamnek nevezte, és voilá, a név rajta maradt.

De különös eredete ellenére maga a szó nem tükrözi, mennyire káros lehet a spam – vagy milyen nehéz megszabadulni tőle. A szúnyogokhoz hasonlóan a spam e-mailek is gyakran hordoznak veszélyes tartalmakat, amelyek komoly károkat okozhatnak az eszközeidben. Arról nem is beszélve, hogy a személyes adataid is veszélybe kerülhetnek, és milyen migrént okozhat, ha a postafiókodat kétes hirdetések árasztják el. De a történetének megértése segít. Ha megérted, hogyan talál utat a spam a bejövő leveleid közé, jobban ki tudod majd tartani onnan.

Mikor küldték el az első spam e-mailt?

Szóval honnan jön a spam? Meglepő lehet megtudni, hogy az első spam e-mailt még az internet létezése előtt küldték el. Nem valami árnyékos bűnözői csoporttól származott, hanem egyetlen marketingestől, aki egy új számítógépcsaládot próbált eladni, és akár hiszed, akár nem, milliókat hozott.

1978-ban Gary Thuerk marketingmenedzser körülbelül 400 embernek küldött e-mailt az ARPANET-en keresztül, azon a katonai hálózaton, amely megelőzte az internetet. Üzenete egy bemutatóra szólt meghívóként az új DECSYSTEM-20 számítógépekről. Az e-mail körülbelül 13 millió dollárnyi eladást hozott, de szinte mindenkit bosszantott, aki megkapta.

A spam történetének ebben a sztorijában a legérdekesebb rész nem az, hogy mikor küldték el az e-mailt, hanem az a kétélű fegyver, amely az e-mailes spam mögött áll. Egyrészt szemkápráztató mennyiségű pénzt lehet keresni a több száz, több ezer vagy akár több millió embernek küldött hirdetésekkel. Másrészt a spam nyilvánvalóan idegesítő. Sajnos ez az a vonzás-taszítás kapcsolat, amely végigkíséri a spamet a viharos történetén.

Hogyan fejlődött a spam az évtizedek során?

Ha elég szerencsés voltál ahhoz, hogy a Google és a Microsoft védelmének korszakában nőj fel, lehet, hogy nem emlékszel az internet korai időszakára, amikor a spam eltávolítása a bejövő levelek közül inkább kézi feladat volt.

Az e-mailes spam fejlődésének idővonala

1980-as–1990-es évek: az e-mail vadnyugata

1983-ban, egy évvel George Orwell totalitárius szuperállamról szóló jóslata előtt, valami egészen más kezdett formát ölteni. Először vált lehetővé, hogy több független hálózat kapcsolódjon egymáshoz, megteremtve a mai globális hálózathálózat, vagy ahogy mi hívjuk, az internet alapját.

A következő évtizedben több millió új felhasználó csatlakozott az internethez, és kezdett e-mail-címeket létrehozni. Nem volt központi hatóság, amely azt mondta volna, hogy „ezt nem teheted”, és az e-mail gyakorlatilag ingyenes hirdetési csatornaként szolgálhatott. Egyetlen üzenet több ezer, sőt több millió emberhez juthatott el szinte nulla költséggel.

Mi lett az eredmény? Az 1990-es években a spam robbanásszerűen terjedt, és vele együtt az ellene irányuló erőfeszítések is. 1994-ben Canter & Siegel ügyvédek elindították hírhedt „Green Card Lottery” hirdetésüket több ezer Usenet-csoportban, amit gyakran az első jelentős kereskedelmi spamkampánynak tekintenek. Hamarosan megjelentek a védekezési megoldások is. A Mail Abuse Prevention System (MAPS) 1996-ban bevezette az első valós idejű Blackhole Listet, amely blokkolta az ismert spamszerverekről érkező leveleket, és olyan csoportok, mint a Spamhaus, tiltólistákat építettek és információkat osztottak meg, hogy távol tartsák a spammereket.

2000-es évek: az évtized, amikor a spam elsötétült

A 2000-es évek ugyan a millennium végét jelezhették, de sokak számára ez jelentette az igazán idegesítő, a bejövő leveleket elárasztó e-mailek kezdetét. A Google, a Yahoo és a Microsoft is felült a spammegállító hullámra. De már nem csak gagyi hirdetésekről vagy gyors meggazdagodást ígérő sémákról volt szó, a spam sötétebbé vált. A spammerek elkezdtek „botneteket”, vagyis fertőzött számítógépek hálózatait használni arra, hogy hatalmas léptékben küldjenek spamet.

A kormányok úgy döntöttek, ideje közbelépni. 2003-ban az Egyesült Államok bevezette a CAN-SPAM Actet (Controlling the Assault of Non-Solicited Pornography and Marketing). Ez kötelezte a spammereket a leiratkozási kérelmek tiszteletben tartására és a megtévesztő tárgysorok kerülésére, de a bökkenő az volt, hogy a felelősség továbbra is a címzettekre hárult a leiratkozás terén. Európa ezzel szemben szigorúbb utat választott. Az EU opt-in rendszert vezetett be az e-mail-marketingre, ami azt jelentette, hogy a cégek nem küldhettek kereskedelmi e-maileket előzetes engedély nélkül.

A 2000-es évek hozták el igazán annak a macska-egér játéknak a robbanását, amely meghatározta a spamet. A spammerek új trükköket találtak ki, a védekezők pedig módokat kerestek ezek kivédésére. Vegyük például a Bayes-féle szűrést: ez átvizsgálja az e-mail szavait, kiszámolja a valószínűségeket, és eldönti, hogy szemét-e vagy valódi. Amikor először megjelent, áttörést jelentett abban, hogyan léphetnek fel az e-mail-szolgáltatók a spam ellen. 2004-ben Bill Gates még azt is megjósolta, hogy a spamprobléma két éven belül megoldódik. De a spammerek, mint mindig, gyorsan alkalmazkodtak.

Példák a spam elleni oda-vissza harcra a gyakorlatban:

A modern korszak: amikor a spam megtanult gondolkodni

Stephen Hawking egyszer arra figyelmeztetett, hogy az emberek egy nap úgy viszonyulhatnak az AI-hoz, ahogy a kutyák az emberekhez, ami kijózanító gondolat. És bár ez komornak hangozhat, nem túlzás azt állítani, hogy az AI felemelkedése legalább annyira átalakító lehet, mint a gőzgép feltalálása. Nem csoda hát, hogy az AI alakítja a csatát azok között, akik profitálni akarnak a spamből, és azok között, akik megpróbálják kordában tartani. A különbség az, hogy a hagyományos spamszűrőkkel ellentétben az AI képes tanulni és alkalmazkodni.

Az irónia az, hogy a csalók ugyanazokat az eszközöket használják spam e-mailjeik javítására, mint amelyeket az egyetemisták a vizsgáik átpasszolására. Az AI-eszközök előtt a spam e-mailek tele voltak elütésekkel, nyelvtani hibákkal és nyilvánvaló figyelmeztető jelekkel. Most viszont a nagy nyelvi modelleknek köszönhetően tökéletes nyelvtanú, lokalizált hangvételű és személyre szabott csaliként működő spam e-mailek küldhetők tömegesen. Ahelyett, hogy 10’000 teljesen egyforma e-mailt küldenének, a csalók 10’000 kissé eltérő e-mailt küldhetnek, és elkerülhetik a szűrőket. A szöveget olyan modelleken futtatva át, amelyek szimulálják a spamértékelést, a támadók addig finomíthatják üzeneteiket, amíg azok „biztonságosnak” nem tűnnek.

Az e-mail-óriások ugyanezt teszik. AI-t és gépi tanulást használnak nemcsak a tartalom vizsgálatára, hanem a feladó viselkedésének, a hálózati jeleknek, sőt az üzenetek kontextusának elemzésére is. A Gmail például ma már képes észlelni a gyanús mintákat, például az új domainekről érkező hirtelen e-mailhullámokat vagy az ismert adathalász csalikra hasonlító tartalmakat, és valós időben alkalmazkodni, hogy leállítsa az új spamkampányokat.

Milyen hatással volt a spam az e-mailre és a vállalkozásokra?

Ha visszatérünk a spam eredettörténetéhez és annak Monty Python-féle névadójához, a téma egyszerű volt: idegesítő. Akkoriban a legtöbben pontosan így tekintettek a spamre. Azóta azonban sokkal veszélyesebbé vált. Ma már egy rossz linkre kattintás vírusokat vagy komoly pénzügyi veszteséget is jelenthet.

És nem csak az egyének vannak veszélyben. A 2000-es évektől kezdve a csalók kifinomult módszereket dolgoztak ki arra, hogy nagyobb célpontokat támadjanak. Sok ilyen módszernek még hangzatos beceneve is van, ami elbagatellizálja, mennyire súlyosak lehetnek a következmények.

Példák a vállalkozásokat célzó spamre:

Tömeges spam és csalások – A tömeges e-mailek még mindig naponta árasztják el a bejövő leveleket, az idegesítő hirdetésektől a hamis lottókig vagy a „nigériai herceg” sémákig. Alacsony szintűek, de elárasztják a postafiókokat, és még mindig megtéveszthetik az alkalmazottakat.

Adathalász e-mailek – Megbízható márkáknak adják ki magukat, és hamis oldalakra csábítják a felhasználókat. Ezek az adathalász e-mailek korábban ügyetlenek voltak, ma már kifinomultak, automatizáltak, és nehéz megkülönböztetni őket a valóditól.

Spear phishing és whaling – Célzott támadások, amelyek valódi neveket vagy projekteket használnak konkrét alkalmazottak megtévesztésére. Ha vezetőket céloznak, azt „whalingnek” hívják, és a haszon óriási lehet.Business Email Compromise (BEC) – A bűnözők vezérigazgatónak, beszállítónak vagy HR-esnek adják ki magukat, hogy pénzátutalásra vagy adatok elküldésére vegyék rá a munkatársakat.

Kártevők és zsarolóvírusok – A spam gyakran tartalmaz rosszindulatú mellékleteket vagy linkeket. Egyetlen kattintás vírusokat vagy zsarolóvírust szabadíthat el, teljes rendszereket béníthat meg, és milliókba kerülhet a vállalkozásoknak.

De az igazi veszély a következmények léptékében rejlik. A spam óriási mértékben pazarolja az időt. Az alkalmazottak újra meg újra megkérdőjelezik az e-maileket, a vezetők pedig téves riasztásokat vizsgálnak. Mindez rontja a termelékenységet.

Mibe kerül valójában a spam

Az FBI becslése szerint önmagában a Business Email Compromise több mint 50 milliárd dollárt emésztett fel 2013 és 2022 között. Ezért fejlődik folyamatosan a spam elleni küzdelem. A szűrők ma már a kulcsszavakon túl a mintákat, a mellékleteket és még a feladó viselkedését is vizsgálják. Az olyan törvények, mint a CAN-SPAM és a GDPR, szabályokat állapítanak meg a hozzájárulás és az átláthatóság körül. Az e-mail-szolgáltatók pedig olyan védelmeket vezettek be, mint az SPF, a DKIM és a DMARC, amelyek sokkal nehezebbé teszik a támadók számára, hogy másnak adják ki magukat.

Hogyan küzdünk ma a spam ellen?

A modern spamszűrőket AI hajtja és gépi tanulás. Képesek elemezni a feladó viselkedését és az üzenet kontextusát, majd valós időben alkalmazkodni.

De a tudatosság továbbra is fontos. Még a legjobb spamszűrők mellett is az alkalmazottak képzésének kulcsfontosságú részévé kell válnia a spam megállításának.

Hogyan védd meg magad a spam e-mailektől

Manapság a cégek rendszeres tudatosságnövelő programokat futtatnak, amelyek arra tanítják az embereket, hogy lassítsanak, észrevegyék a figyelmeztető jeleket, vagy ellenőrizzék a kéréseket, mielőtt cselekednének. Ezek közé tartoznak például:

Gondolkodj, mielőtt kattintasz

A jól bevált tanács itt is érvényes. Ha olyan e-mailt kaptál, amelyre nem számítottál, és nem ismered a feladót, akkor ne kattints egy véletlenszerű linkre. Asztali gépen ráviheted az egeret a linkre, mobilon pedig hosszan megnyomhatod, hogy először megnézd a valódi célcímet. Ha a link címe és a valódi cím eltér, az figyelmeztető jel.

Ha mégis úgy döntesz, hogy rákattintasz egy e-mailben lévő linkre, ne tévesszen meg a URL melletti lakat, ez nem jelenti azt, hogy az oldal biztonságos. A lakat csak azt erősíti meg, hogy valaki titkosította a kapcsolatot. Sajnos egy adathalász oldal ugyanolyan könnyen szerezhet SSL-tanúsítványt, mint egy legitim oldal.

Ellenőrizd a feladót 

Az e-mailben megjelenő név nem mindig a feladó valódi személyazonossága. Ennek az az oka, hogy bárki megváltoztathatja valami teljesen másra. A valódi személyazonosság ellenőrzéséhez meg kell nézned a pontos e-mail-címet, ahonnan az üzenet érkezett.

Néha ez nyilvánvaló, például ha az e-mail egy olcsó, eldobható ingyenes e-mail-címről érkezik. De ez nem mindig ilyen egyszerű. A támadók gyakran álcázzák az e-maileket néhány karakter megváltoztatásával, például @p4ypal.com. Ha nem vagy biztos benne, hogy az e-mail valódi, a legjobb, ha a hivatalos kommunikációs csatornákon keresztül veszed fel a kapcsolatot.

Válassz SPF-, DKIM- és DMARC-támogatással rendelkező szolgáltatót

Ami a spamet illeti, az SPF, DKIM és DMARC az e-mail-hitelesítés aranyszabványa. Ezek a legjobb módjai annak megállapítására, hogy a domainedről küldött e-mailek valóban tőled származnak-e, vagy egy csalótól. Az SPF ellenőrzi, hogy az e-mail olyan szerverről érkezett-e, amely jogosult a nevedben küldeni. A DKIM egy hamisításbiztos aláírást ad hozzá, így az üzenetet útközben nem lehet észrevétlenül módosítani. A DMARC összekapcsolja a kettőt, és megmondja a fogadó szervernek, mit tegyen, ha egy üzenet nem megy át az ellenőrzésen.

A jó hír az, hogy ezt nem kell kézzel beállítanod. Egy jó e-mail-szolgáltatónak ezt meg kell tennie helyetted. Ezért amikor kiválasztod, hol hosztold az e-mailjeidet, olyat keress, amely alapból támogatja az SPF-et, a DKIM-et és a DMARC-ot.

Használj 2FA-t

A 2FA egy második biztonsági réteget ad a fiókodhoz. A kétfaktoros hitelesítést jelenti, és lényegében azt, hogy egy helyett két dologgal igazolod, ki vagy. Az első a jelszavad, a második lehet a telefonod, egy hitelesítő alkalmazás, egy ujjlenyomat vagy egy biztonsági kulcs.

Ez azt jelenti, hogy ha ellopják a jelszavadat, a támadó nem férhet hozzá a fiókodhoz a második hitelesítési forma nélkül. Bármilyen 2FA jobb, mint a semmilyen 2FA. Keress olyan e-mail-szolgáltatókat, amelyek kínálják ezt, és kapcsold be mindenhol, ahol csak tudod, az e-maillel kezdve.

Légy óvatos a mellékletekkel

Az emberek kíváncsiak, a támadók pedig ezt kihasználják. A legjobb módja annak, hogy megvédd magad, ha nem nyitsz meg olyan e-mail-mellékleteket, amelyekre nem számítottál. Ez akkor is igaz, ha ismerőstől érkeznek. Ennek oka, hogy a fiókokat gyakran feltörik, és a feladókat is gyakran meghamisítják.

Mindig kezeld fokozott óvatossággal a PDF-eket, a Word- és Excel-dokumentumokat, a ZIP- és RAR-archívumokat, a HTML-fájlokat, az ISO-lemezképeket, és különösen a .exe fájlokat. Ha bizonytalan vagy, megnyitás előtt egy külön csatornán erősítsd meg a feladóval.

Tartsd képzésben a csapatodat

Végső soron az emberek jelentik az utolsó védelmi vonalat a támadásokkal szemben. A szűrők, a hitelesítés és a mellékletek vizsgálata sok mindent megállít, de az átjutó üzeneteket úgy tervezik, hogy egy embert tévesszenek meg.

Itt tehet óriási különbséget a képzés. Lényeges, hogy a cégek a mai támadásokra képezzenek, ne a tegnapiakra. Ez azt jelenti, hogy az AI által írt, elütések nélküli csalikra, a deepfake hangra és videóra, valamint az SMS-en, QR-kódokon és MFA-kéréseken keresztüli csalásokra is fel kell készülni, nem csak az e-mailre.