Utviklingen av e-postspam

Den første spam-e-posten ble sendt av Gary Thuerk i 1978 til rundt 400 personer. E-posten inkluderte en brosjyre for DECSYSTEM-20-datamaskinene. Den var vanvittig vellykket og genererte rundt 13 millioner dollar i salg. Den åpnet også opp e-post som en ny kanal for å nå kunder og selge produkter.

Det finnes to måter å se på e-postspam på.

1. Den havner i innboksen din, du klikker på slett, hva er så farlig med det?

2. Et internasjonalt katt-og-mus-spill, der innboksen din, og det som havner i den, står i frontlinjen mens teknologigiganter, offentlige etater og kriminelle organisasjoner kjemper om sikkerheten din, oppmerksomheten din og bankkontoen din.

Det andre synet høres kanskje dramatisk ut, men hvis det sparer deg for noen hodepiner og kanskje til og med litt penger, er det verdt å forstå, ikke sant?

Vel … alt starter med en spøk om en boks med hermetisk kjøtt.

Hva er en spam-e-post, og hvorfor kalles det spam?

Det er mye spam kan være, reklame, svindel, søppelnyhetsbrev, listen fortsetter. Men det ene spam ikke er, er invitert. Som en sverm av mygg som dukker opp ved første tegn til sommer, kommer spam nesten alltid i store mengder. Det er uoppfordret, uønsket og ganske så irriterende.

Men hvorfor deler det navn med en boks hermetisk kjøtt laget av svinebog og skinke? For det kan vi takke en berømt Monty Python-sketsj for, der ordet «spam» ble gjentatt om og om igjen, nesten til vanviddets grense. Dette befestet «spam» som et symbol på det vedvarende og uønskede. I 1993 tok en smart internettbruker denne ideen og beskrev en flom av gjentatte innlegg som spam, og voilà, navnet festet seg.

Men til tross for det finurlige opphavet, fanger ikke selve ordet hvor skadelig spam kan være – eller hvor vanskelig det er å bli kvitt. Som mygg bærer spam-e-poster ofte med seg farlig innhold som kan skape kaos på enhetene dine. For ikke å snakke om risikoen for personopplysningene dine, og migrenen som kan komme av at innboksen din oversvømmes av lyssky annonser. Men det hjelper å forstå historien. Hvis du kan forstå hvordan spam finner veien til innboksen din, vil du gjøre en bedre jobb med å holde den ute.

Når ble den første spam-e-posten sendt?

Så hvor kommer spam-e-post fra? Du blir kanskje overrasket over å høre at den første spam-e-posten ble sendt før internett i det hele tatt eksisterte. Den kom ikke fra en lyssky kriminell gruppe, men fra en enkelt markedsfører som prøvde å selge en ny serie datamaskiner, og tro det eller ei, den tjente millioner.

Tilbake i 1978 sendte markedsføringssjef Gary Thuerk en e-post til rundt 400 personer gjennom ARPANET, det militære nettverket som kom før internett. Meldingen hans var en invitasjon til en presentasjon av de nye DECSYSTEM-20-datamaskinene. E-posten ga rundt 13 millioner dollar i salg, men irriterte også nesten alle som mottok den.

Den mest interessante delen av denne historien fra spamens historie er ikke når e-posten ble sendt, men det tveeggede sverdet som ligger bak e-postspam. På den ene siden er det svimlende mengder penger å tjene på annonser sendt til hundrevis, tusenvis eller til og med millioner av mennesker. Men spam er helt åpenbart irriterende. Dessverre er dette dragkampforholdet som kommer til å følge spam gjennom dens turbulente historie.

Hvordan har spam utviklet seg gjennom tiårene?

Hvis du er heldig nok til å ha vokst opp i en tid med beskyttelse fra Google og Microsoft, husker du kanskje ikke internettets tidlige dager, da det å få spam ut av innboksen var en mer manuell oppgave.

Tidslinje for utviklingen av e-postspam

1980- og 1990-tallet: e-postens ville vesten

I 1983, ett år før George Orwells spådom om en totalitær superstat, var noe helt annet i ferd med å ta form. For første gang ble det mulig for flere uavhengige nettverk å koble seg til hverandre, og dermed skape grunnlaget for dagens globale nettverk av nettverk, eller internett som vi liker å kalle det.

I løpet av det neste tiåret kom millioner av nye brukere på nett og begynte å opprette e-postadresser. Det fantes ingen sentral myndighet som kunne si «det kan du ikke gjøre», og e-post kunne i praksis fungere som en gratis reklamekanal. Én melding sendt ut til tusenvis, til og med millioner, av mennesker til nesten ingen kostnad.

Hva ble resultatet? På 1990-tallet eksploderte spam, og det samme gjorde innsatsen for å kontrollere den. I 1994 lanserte advokatene Canter & Siegel sin beryktede «Green Card Lottery»-annonse på tvers av tusenvis av Usenet-grupper, ofte sett på som den første store kommersielle spamkampanjen. Forsvarsmekanismer fulgte snart etter. Mail Abuse Prevention System (MAPS) rullet ut den første Real-time Blackhole List i 1996, som blokkerte e-post fra kjente spamservere, og grupper som Spamhaus bygde blokkeringslister og delte etterretning for å holde spammere ute.

2000-tallet: Tiåret da spam ble mørkere

2000-tallet markerte kanskje slutten på årtusenet, men for mange var det den virkelige begynnelsen på irriterende e-poster som flommet innboksene over. Google, Yahoo og Microsoft hoppet alle på anti-spam-bølgen. Men det var ikke lenger cheesy annonser eller bli-rik-fort-opplegg, spam ble mørkere. Spammere hadde begynt å bruke «botnett», nettverk av infiserte datamaskiner, til å sende ut spam i massiv skala.

Myndighetene bestemte at det var på tide å gripe inn. I 2003 innførte USA CAN-SPAM Act (Controlling the Assault of Non-Solicited Pornography and Marketing). Den tvang spammere til å respektere avmeldingsforespørsler og unngå villedende emnefelt, men haken var at ansvaret fortsatt lå hos mottakerne for å melde seg av. Europa gikk derimot strengere til verks. EU innførte et opt-in-system for e-postmarkedsføring, noe som betydde at selskaper ikke kunne sende kommersielle e-poster uten først å få tillatelse.

2000-tallet markerte den virkelige eksplosjonen i katt-og-mus-leken som kom til å definere spam. Spammere fant opp nye triks, og forsvarerne fant måter å motvirke dem på. Ta bayesisk filtrering, for eksempel: den skanner ordene i en e-post, beregner sannsynlighetene og avgjør om det er søppel eller ekte. Da den først kom, var det et gjennombrudd i hvordan e-postleverandører kunne slå ned på spam. I 2004 spådde Bill Gates til og med at spamproblemet ville være løst innen to år. Men som alltid var spammere raske til å tilpasse seg.

Eksempler på spamens fram og tilbake i praksis:

Den moderne tiden: Da spam lærte å tenke

Stephen Hawking advarte en gang om at mennesker en dag kunne bli for AI det hunder er for mennesker, en tankevekkende tanke. Og selv om det kan høres dystert ut, er det ingen overdrivelse å si at fremveksten av AI kan være like omveltende som oppfinnelsen av dampmaskinen. Det er derfor ikke rart at AI former kampen mellom dem som ønsker å tjene på spam og dem som prøver å kontrollere den. Forskjellen er at AI, i motsetning til tradisjonelle spamfiltre, kan lære og tilpasse seg.

Ironien her er at svindlere bruker de samme verktøyene til å forbedre spam-e-postene sine som studenter bruker for å bestå eksamenene sine. Før AI-verktøy var spam-e-poster fulle av skrivefeil, grammatiske feil og åpenbare varselsignaler. Nå, takket være store språkmodeller, kan spam-e-poster med feilfri grammatikk, lokal tone og personlige lokkemidler sendes ut i stor skala. I stedet for å sende 10’000 identiske e-poster, kan svindlere sende 10’000 litt forskjellige e-poster og unngå filtre. Ved å kjøre tekst gjennom modeller som simulerer spamvurdering, kan angripere justere meldingene sine til de fremstår som «trygge».

E-postgigantene gjør det samme. De bruker AI og maskinlæring ikke bare til å skanne innhold, men også til å analysere avsenderatferd, nettverkssignaler og til og med konteksten i meldinger. Gmail kan for eksempel nå oppdage mistenkelige mønstre, som plutselige bølger av e-poster fra nye domener eller innhold som etterligner kjente phishing-lokkemidler, og tilpasse seg i sanntid for å stanse nye spamkampanjer.

Hvilken innvirkning har spam hatt på e-post og bedrifter?

Hvis vi går tilbake til spam-e-postens opprinnelseshistorie, og dens navnebror fra Monty Python, var temaet enkelt: irriterende. Den gangen var det akkurat slik de fleste så på spam. Men i tiårene siden har det blitt langt farligere. Å klikke på feil lenke kan nå bety virus eller alvorlig økonomisk tap.

Og det er ikke bare enkeltpersoner som er i faresonen. Siden 2000-tallet har svindlere funnet på avanserte måter å gå etter større mål på. Mange av disse metodene har til og med fengende kallenavn som toner ned hvor alvorlige konsekvensene faktisk kan være.

Eksempler på spam rettet mot bedrifter:

Massespam og svindel – Masseutsendelser av e-post fyller fortsatt innbokser hver dag, fra irriterende annonser til falske lotterier eller «nigeriansk prins»-opplegg. De er på et lavere nivå, men roter til innbokser og kan fortsatt lure ansatte.

Phishing-e-poster – Utgir seg for å være pålitelige merkevarer og lokker brukere til falske nettsteder. Disse phishing-e-postene var tidligere klønete, men er nå polerte, automatiserte og vanskelige å skille fra den ekte varen.

Spear phishing og whaling – Målrettede angrep som bruker ekte navn eller prosjekter for å lure bestemte ansatte. Når de rettes mot ledere, kalles det «whaling», og gevinsten kan være enorm.Business Email Compromise (BEC) – Kriminelle utgir seg for å være administrerende direktører, leverandører eller HR for å lure ansatte til å overføre penger eller sende data.

Skadevare og løsepengevirus – Spam inneholder ofte skadelige vedlegg eller lenker. Ett klikk kan slippe løs virus eller løsepengevirus, låse hele systemer og koste bedrifter millioner.

Men den virkelige faren ligger i omfanget av konsekvensene. Spam sløser bort tid i enorm skala. Ansatte som tviler på e-poster eller ledere som undersøker falske alarmer. Alt dette tærer på produktiviteten.

Hva spam egentlig koster

FBI anslår at Business Email Compromise alene tappet over 50 milliarder dollar mellom 2013 og 2022. Derfor fortsetter kampen mot spam å utvikle seg. Filtre ser nå forbi nøkkelord og skanner mønstre, vedlegg og til og med avsenderatferd. Lover som CAN-SPAM og GDPR setter regler for samtykke og åpenhet. Og e-postleverandører har lagt til beskyttelse som SPF, DKIM og DMARC, noe som gjør det mye vanskeligere for angripere å utgi seg for å være noen de ikke er.

Hvordan bekjemper vi spam i dag?

Moderne spamfiltre drives av AI og maskinlæring. De kan analysere avsenderatferd og konteksten i meldingen, og deretter tilpasse seg i sanntid.

Men bevissthet er fortsatt viktig. Selv med de beste spamfiltrene må opplæring av ansatte bli en viktig del av å stoppe spam.

Slik beskytter du deg mot spam-e-poster

I dag kjører selskaper jevnlige bevisstgjøringsprogrammer som lærer folk å roe ned og oppdage varselsignaler, eller bekrefte forespørsler før de handler. Noen av disse inkluderer:

Tenk før du klikker

Velprøvde råd gjelder fortsatt her. Hvis du har mottatt en e-post du ikke ventet og du ikke kjenner avsenderen, bør du ikke klikke på en tilfeldig lenke. Du kan holde musepekeren over lenken på datamaskin, eller trykke og holde på mobil for å forhåndsvise den virkelige destinasjonen først. Hvis lenkeadressen og den virkelige adressen er forskjellige, er det et varselsignal.

Hvis du likevel bestemmer deg for å klikke på en lenke i en e-post, må du ikke la deg lure av en hengelås ved siden av URL-en, dette betyr ikke at nettstedet er trygt. Hengelåsen bekrefter bare at noen har kryptert forbindelsen. Dessverre kan et phishing-nettsted få et SSL-sertifikat like enkelt som et legitimt nettsted.

Bekreft avsenderen 

Visningsnavnet i en e-post er ikke alltid avsenderens virkelige identitet. Det er fordi hvem som helst kan endre det til noe helt annet. For å bekrefte den virkelige identiteten må du sjekke den nøyaktige e-postadressen e-posten kom fra.

Noen ganger er dette åpenbart, for eksempel hvis e-posten kommer fra en billig, midlertidig gratis e-postadresse. Men det er ikke alltid så enkelt. Angripere kamuflerer ofte e-poster ved å endre noen få tegn, som @p4ypal.com. Hvis du er usikker på om e-posten er ekte, er det best å kontakte de offisielle kommunikasjonskanalene.

Velg en leverandør med SPF, DKIM, DMARC

Når det gjelder spam, er SPF, DKIM og DMARC gullstandarden for e-postautentisering. De er den beste måten å avgjøre om e-poster sendt fra domenet ditt faktisk kommer fra deg, eller fra en bedrager. SPF sjekker at e-posten kom fra en server som har tillatelse til å sende på dine vegne. DKIM legger til en manipulasjonssikker signatur, slik at meldingen ikke kan endres i det skjulte underveis. DMARC knytter de to sammen og forteller mottakerserveren hva den skal gjøre når en melding ikke består kontrollen.

Den gode nyheten er at du ikke trenger å sette opp noe av dette manuelt. En god e-postleverandør bør gjøre det for deg. Så når du velger hvor du skal hoste e-posten din, se etter en som støtter SPF, DKIM og DMARC som standard.

Bruk 2FA

2FA legger til et ekstra sikkerhetslag på kontoen din. Det står for tofaktorautentisering og betyr i praksis at du beviser hvem du er med to ting i stedet for én. Den første er passordet ditt, den andre kan være telefonen din, en autentiseringsapp, et fingeravtrykk eller en sikkerhetsnøkkel.

Dette betyr at hvis passordet ditt blir stjålet, kan ikke angriperen få tilgang til kontoen din uten å ha den andre autentiseringsformen. All 2FA er bedre enn ingen 2FA. Se etter e-postleverandører som tilbyr det, og slå det på overalt du kan, med e-posten din først.

Vær forsiktig med vedlegg

Mennesker er nysgjerrige, og angripere utnytter det. Den beste måten du kan beskytte deg på, er å unngå å åpne e-postvedlegg du ikke ventet. Dette gjelder selv om de kommer fra noen du kjenner. Det er fordi kontoer ofte blir kapret og avsendere blir forfalsket.

Behandle alltid PDF-er, Word- og Excel-dokumenter, ZIP- og RAR-arkiver, HTML-filer, ISO-diskbilder og spesielt .exe-filer med ekstra forsiktighet. Hvis du er i tvil, bekreft med avsenderen gjennom en separat kanal før du åpner noe.

Hold teamet ditt opplært

Til syvende og sist er mennesker den siste forsvarslinjen når det gjelder angrep. Filtre, autentisering og skanning av vedlegg stopper mye, men alle meldinger som slipper gjennom, er utformet for å lure en person.

Det er her opplæring kan utgjøre en enorm forskjell. Det er avgjørende at selskaper trener på dagens angrep, ikke gårsdagens. Det betyr AI-skrevne lokkemidler uten skrivefeil, deepfake-stemme og -video, og svindel via SMS, QR-koder og MFA-forespørsler, ikke bare e-post.