Ewolucja spamu e-mailowego

Pierwszy spamowy e-mail został wysłany przez Gary’ego Thuerka w 1978 roku do około 400 osób. E-mail zawierał broszurę dotyczącą komputerów DECSYSTEM-20. Okazał się niewiarygodnie skuteczny i wygenerował około 13 milionów dolarów sprzedaży. Otworzył też e-mail jako nowy kanał docierania do klientów i sprzedaży produktów.

Na spam e-mailowy można patrzeć na dwa sposoby.

1. Trafia do Twojej skrzynki odbiorczej, klikasz usuń — o co tyle hałasu?

2. To międzynarodowa gra w kotka i myszkę, w której Twoja skrzynka odbiorcza i to, co do niej trafia, znajduje się na pierwszej linii frontu, gdy wielkie firmy technologiczne, agencje rządowe i organizacje przestępcze walczą o Twoje bezpieczeństwo, uwagę i konto bankowe.

Ten drugi punkt widzenia może brzmieć dramatycznie, ale jeśli oszczędzi Ci kilku problemów, a może nawet trochę pieniędzy, warto go zrozumieć, prawda?

Cóż… wszystko zaczyna się od żartu o puszce konserwowego mięsa.

Czym jest spamowy e-mail i dlaczego nazywa się spamem?

Spam może przybierać wiele form — reklamy, oszustwa, niechciane newslettery, a lista jest długa. Ale jedną rzeczą, którą spam na pewno nie jest, to coś, na co ktoś się zapisał. Jak rój komarów pojawiający się przy pierwszej wzmiance o lecie, spam niemal zawsze przychodzi masowo. Jest niezamówiony, niechciany i naprawdę bardzo irytujący.

Ale dlaczego dzieli nazwę z puszką konserwowego mięsa z łopatki wieprzowej i szynki? Za to możemy podziękować słynnemu skeczowi Monty Pythona, w którym słowo „spam” było powtarzane w kółko, niemal do granic szaleństwa. To utrwaliło „spam” jako symbol natrętności i czegoś niechcianego. W 1993 roku pewien bystry użytkownik internetu wykorzystał ten pomysł i opisał falę powtarzających się postów jako spam — i voilà, nazwa się przyjęła.

Ale mimo swoich osobliwych początków samo słowo nie oddaje tego, jak szkodliwy może być spam — ani jak trudno się go pozbyć. Podobnie jak komary, spamowe e-maile często przenoszą niebezpieczne treści, które mogą siać spustoszenie na Twoich urządzeniach. Nie wspominając o ryzyku dla Twoich danych osobowych i migrenie, jaka może towarzyszyć zalaniu skrzynki odbiorczej podejrzanymi reklamami. Ale zrozumienie historii pomaga. Jeśli zrozumiesz, jak spam trafia do Twojej skrzynki odbiorczej, lepiej poradzisz sobie z trzymaniem go z dala.

Kiedy wysłano pierwszy spamowy e-mail?

Skąd więc bierze się spam? Możesz się zdziwić, gdy dowiesz się, że pierwszy spamowy e-mail został wysłany jeszcze zanim internet w ogóle istniał. Nie pochodził od jakiejś mrocznej grupy przestępczej, lecz od jednego marketera próbującego sprzedać nową linię komputerów i, wierz lub nie, przyniósł miliony.

W 1978 roku menedżer marketingu Gary Thuerk wysłał e-mail do około 400 osób za pośrednictwem ARPANET-u, wojskowej sieci, która poprzedzała internet. Jego wiadomość była zaproszeniem na prezentację nowych komputerów DECSYSTEM-20. E-mail przyniósł około 13 milionów dolarów sprzedaży, ale zirytował też niemal wszystkich, którzy go otrzymali.

Najciekawszą częścią tej historii ze spamowej przeszłości nie jest to, kiedy e-mail został wysłany, lecz obosieczny miecz stojący za spamem e-mailowym. Z jednej strony na reklamach wysyłanych do setek, tysięcy, a nawet milionów ludzi można zarobić zawrotne sumy. Z drugiej spam jest po prostu irytujący. Niestety, to właśnie ta relacja przyciągania i odpychania będzie towarzyszyć spamowi przez całą jego burzliwą historię.

Jak spam ewoluował na przestrzeni dekad?

Jeśli masz szczęście dorastać w erze ochrony Google i Microsoft, możesz nie pamiętać początków internetu, kiedy usuwanie spamu ze skrzynki odbiorczej było znacznie bardziej ręcznym zadaniem.

Oś czasu ewolucji spamu e-mailowego

Lata 80. i 90.: dziki zachód e-maila

W 1983 roku, rok przed przewidywaniem George’a Orwella o totalitarnym superpaństwie, kształtowało się coś zupełnie innego. Po raz pierwszy umożliwiono połączenie wielu niezależnych sieci ze sobą, tworząc fundament dzisiejszej globalnej sieci sieci, czyli internetu, jak lubimy go nazywać.

W ciągu następnej dekady miliony nowych użytkowników pojawiły się online i zaczęły zakładać adresy e-mail. Nie było żadnego centralnego organu, który mógłby powiedzieć: „nie możesz tego robić”, a e-mail mógł zasadniczo służyć jako darmowy kanał reklamowy. Jedna wiadomość rozsyłana do tysięcy, a nawet milionów ludzi, niemal bez kosztów.

Jaki był rezultat? W latach 90. spam eksplodował, podobnie jak wysiłki mające go kontrolować. W 1994 roku prawnicy Canter & Siegel uruchomili swoją niesławną reklamę „Green Card Lottery” w tysiącach grup Usenetu, co często uznaje się za pierwszą dużą komercyjną kampanię spamową. Wkrótce pojawiły się środki obrony. Mail Abuse Prevention System (MAPS) wdrożył pierwszą listę Real-time Blackhole List w 1996 roku, blokując pocztę z serwerów znanych ze spamu, a grupy takie jak Spamhaus budowały listy blokad i dzieliły się informacjami, aby trzymać spamerów z dala.

Lata 2000.: dekada, w której spam pociemniał

Lata 2000. mogły oznaczać koniec tysiąclecia, ale dla wielu były prawdziwym początkiem zalewu irytujących e-maili w skrzynkach odbiorczych. Google, Yahoo i Microsoft dołączyły do walki ze spamem. Ale nie chodziło już o tandetne reklamy czy schematy szybkiego wzbogacenia się — spam stawał się mroczniejszy. Spamerzy zaczęli używać „botnetów”, czyli sieci zainfekowanych komputerów, do wysyłania spamu na ogromną skalę.

Rządy uznały, że czas wkroczyć do akcji. W 2003 roku USA wprowadziły ustawę CAN-SPAM Act (Controlling the Assault of Non-Solicited Pornography and Marketing). Zobowiązywała ona spamerów do respektowania próśb o rezygnację i unikania mylących tematów wiadomości, ale haczyk polegał na tym, że odpowiedzialność nadal spoczywała na odbiorcach, którzy musieli się wypisać. Europa z kolei przyjęła surowsze podejście. UE ustanowiła system opt-in dla marketingu e-mailowego, co oznaczało, że firmy nie mogły wysyłać komercyjnych e-maili bez wcześniejszego uzyskania zgody.

Lata 2000. oznaczały prawdziwą eksplozję gry w kotka i myszkę, która zaczęła definiować spam. Spamerzy wymyślali nowe sztuczki, a obrońcy znajdowali sposoby, by im przeciwdziałać. Weźmy na przykład filtrowanie bayesowskie — skanuje ono słowa w e-mailu, oblicza prawdopodobieństwa i decyduje, czy to śmieć, czy prawdziwa wiadomość. Gdy się pojawiło, było przełomem w sposobie, w jaki dostawcy poczty mogli zwalczać spam. W 2004 roku Bill Gates przewidywał nawet, że problem spamu zostanie rozwiązany w ciągu dwóch lat. Ale, jak zawsze, spamerzy szybko się dostosowali.

Przykłady spamowej walki w praktyce:

Współczesna era: kiedy spam nauczył się myśleć

Stephen Hawking ostrzegał kiedyś, że ludzie mogą pewnego dnia stać się dla AI tym, czym psy są dla ludzi — to otrzeźwiająca myśl. I choć może to brzmieć ponuro, nie jest przesadą stwierdzenie, że rozwój AI może być równie przełomowy jak wynalezienie maszyny parowej. Nic więc dziwnego, że AI kształtuje walkę między tymi, którzy chcą czerpać zyski ze spamu, a tymi, którzy próbują go kontrolować. Różnica polega na tym, że w przeciwieństwie do tradycyjnych filtrów spamu, AI potrafi się uczyć i dostosowywać.

Ironia polega na tym, że oszuści używają tych samych narzędzi do ulepszania swoich spamowych e-maili, których studenci używają do zdawania egzaminów. Przed narzędziami AI spamowe e-maile były pełne literówek, błędów gramatycznych i oczywistych sygnałów ostrzegawczych. Teraz, dzięki dużym modelom językowym, można masowo wysyłać spamowe e-maile z nienaganną gramatyką, lokalnym tonem i spersonalizowanymi haczykami. Zamiast wysyłać 10’000 identycznych e-maili, oszuści mogą wysłać 10’000 nieco różnych e-maili i ominąć filtry. Przepuszczając tekst przez modele symulujące ocenę spamu, atakujący mogą dopracowywać swoje wiadomości, aż będą wyglądały na „bezpieczne”.

Giganci poczty e-mail robią to samo. Używają AI i uczenia maszynowego nie tylko do skanowania treści, ale także do analizowania zachowania nadawcy, sygnałów sieciowych, a nawet kontekstu wiadomości. Na przykład Gmail potrafi teraz wykrywać podejrzane wzorce, takie jak nagłe fale e-maili z nowych domen lub treści naśladujące znane przynęty phishingowe, i dostosowywać się w czasie rzeczywistym, aby powstrzymywać nowe kampanie spamowe.

Jaki wpływ miał spam na e-mail i firmy?

Jeśli wrócimy do historii pochodzenia spamu i jego związku z Monty Pythonem, motyw był prosty: irytacja. Wtedy właśnie tak postrzegano większość spamu. Ale w kolejnych dekadach stał się on znacznie bardziej niebezpieczny. Kliknięcie niewłaściwego linku może dziś oznaczać wirusy lub poważne straty finansowe.

I nie tylko osoby prywatne są zagrożone. Od lat 2000. oszuści opracowali złożone sposoby atakowania większych celów. Wiele z tych schematów ma nawet chwytliwe przydomki, które umniejszają temu, jak poważne mogą być konsekwencje.

Przykłady spamu wymierzonego w firmy:

Masowy spam i oszustwa – Masowe e-maile nadal codziennie zalewają skrzynki odbiorcze — od irytujących reklam po fałszywe loterie czy schematy „nigeryjskiego księcia”. To zagrożenia niższego poziomu, ale zaśmiecają skrzynki i nadal mogą oszukać pracowników.

E-maile phishingowe – Podszywają się pod zaufane marki i zwabiają użytkowników na fałszywe strony. Kiedyś nieporadne, dziś te e-maile phishingowe są dopracowane, zautomatyzowane i trudne do odróżnienia od prawdziwych.

Spear phishing i whaling – Ukierunkowane ataki wykorzystujące prawdziwe nazwiska lub projekty, aby oszukać konkretnych pracowników. Gdy są wymierzone w kadrę kierowniczą, nazywa się to „whaling”, a zysk może być ogromny.Business Email Compromise (BEC) – Przestępcy podszywają się pod CEO, dostawców lub dział HR, aby nakłonić pracowników do przelania pieniędzy lub wysłania danych.

Malware i ransomware – Spam często zawiera złośliwe załączniki lub linki. Jedno kliknięcie może uwolnić wirusy lub ransomware, blokując całe systemy i kosztując firmy miliony.

Ale prawdziwe niebezpieczeństwo tkwi w skali konsekwencji. Spam marnuje czas na ogromną skalę. Pracownicy zastanawiający się nad e-mailami lub menedżerowie badający fałszywe alarmy. To wszystko stopniowo obniża produktywność.

Ile naprawdę kosztuje spam

FBI szacuje, że sam Business Email Compromise spowodował straty przekraczające 50 miliardów dolarów w latach 2013–2022. Dlatego walka ze spamem stale ewoluuje. Filtry patrzą dziś dalej niż tylko na słowa kluczowe i skanują wzorce, załączniki, a nawet zachowanie nadawcy. Przepisy takie jak CAN-SPAM i GDPR ustanawiają zasady dotyczące zgody i przejrzystości. A dostawcy poczty e-mail dodali zabezpieczenia takie jak SPF, DKIM i DMARC, co znacznie utrudnia atakującym podszywanie się pod kogoś, kim nie są.

Jak dziś walczymy ze spamem?

Nowoczesne filtry spamu są napędzane przez AI i uczenie maszynowe. Potrafią analizować zachowanie nadawcy i kontekst wiadomości, a następnie dostosowywać się w czasie rzeczywistym.

Ale świadomość nadal jest ważna. Nawet przy najlepszych filtrach spamu szkolenie pracowników musi stać się kluczową częścią powstrzymywania spamu.

Jak chronić się przed spamowymi e-mailami

Obecnie firmy prowadzą regularne programy uświadamiające, które uczą ludzi, by zwolnili i rozpoznawali sygnały ostrzegawcze albo weryfikowali prośby przed podjęciem działania. Niektóre z nich obejmują:

Pomyśl, zanim klikniesz

Sprawdzona rada nadal się tu sprawdza. Jeśli otrzymałeś e-maila, którego się nie spodziewałeś, i nie znasz nadawcy, nie klikaj losowego linku. Na komputerze możesz najechać kursorem na link, a na telefonie przytrzymać go, aby najpierw podejrzeć prawdziwy adres docelowy. Jeśli adres linku i rzeczywisty adres są różne, to sygnał ostrzegawczy.

Jeśli jednak zdecydujesz się kliknąć link w e-mailu, nie daj się zwieść kłódce obok URL-a — nie oznacza to, że strona jest bezpieczna. Kłódka potwierdza jedynie, że ktoś zaszyfrował połączenie. Niestety, strona phishingowa może uzyskać certyfikat SSL równie łatwo jak legalna witryna.

Zweryfikuj nadawcę 

Nazwa wyświetlana w e-mailu nie zawsze jest prawdziwą tożsamością nadawcy. To dlatego, że każdy może ją zmienić na coś zupełnie innego. Aby zweryfikować prawdziwą tożsamość, musisz sprawdzić dokładny adres e-mail, z którego wiadomość została wysłana.

Czasami jest to oczywiste, na przykład gdy e-mail pochodzi z taniej, jednorazowej darmowej skrzynki. Ale nie zawsze jest to takie proste. Atakujący często maskują e-maile, zmieniając kilka znaków, na przykład @p4ypal.com. Jeśli nie masz pewności, czy e-mail jest prawdziwy, najlepiej skontaktować się przez oficjalne kanały komunikacji.

Wybierz dostawcę z SPF, DKIM, DMARC

Jeśli chodzi o spam, SPF, DKIM i DMARC to złoty standard uwierzytelniania e-maili. To najlepszy sposób, by stwierdzić, czy e-maile wysyłane z Twojej domeny naprawdę pochodzą od Ciebie, czy od oszusta. SPF sprawdza, czy e-mail pochodzi z serwera uprawnionego do wysyłania wiadomości w Twoim imieniu. DKIM dodaje podpis odporny na manipulacje, dzięki czemu wiadomość nie może zostać po cichu zmieniona po drodze. DMARC łączy oba mechanizmy i mówi serwerowi odbierającemu, co zrobić, gdy wiadomość nie przejdzie kontroli.

Dobra wiadomość jest taka, że nie musisz niczego z tego konfigurować ręcznie. Dobry dostawca poczty e-mail powinien zrobić to za Ciebie. Dlatego wybierając miejsce hostowania swojej poczty, szukaj takiego, które standardowo obsługuje SPF, DKIM i DMARC.

Używaj 2FA

2FA dodaje drugą warstwę zabezpieczeń do Twojego konta. Oznacza uwierzytelnianie dwuskładnikowe i zasadniczo polega na potwierdzeniu, kim jesteś, za pomocą dwóch rzeczy zamiast jednej. Pierwszą jest Twoje hasło, drugą może być telefon, aplikacja uwierzytelniająca, odcisk palca lub klucz bezpieczeństwa.

Oznacza to, że jeśli Twoje hasło zostanie skradzione, atakujący nie uzyska dostępu do Twojego konta bez drugiej formy uwierzytelnienia. Każde 2FA jest lepsze niż brak 2FA. Szukaj dostawców poczty e-mail, którzy je oferują, i włączaj je wszędzie, gdzie możesz, zaczynając od swojej poczty.

Uważaj na załączniki

Ludzie są ciekawi, a atakujący to wykorzystują. Najlepszym sposobem ochrony jest unikanie otwierania załączników e-mail, których się nie spodziewałeś. Dotyczy to nawet sytuacji, gdy pochodzą od kogoś, kogo znasz. Dzieje się tak dlatego, że konta są często przejmowane, a nadawcy podszywani.

Zawsze traktuj pliki PDF, dokumenty Word i Excel, archiwa ZIP i RAR, pliki HTML, obrazy dysków ISO, a zwłaszcza pliki .exe ze szczególną ostrożnością. W razie wątpliwości potwierdź z nadawcą przez osobny kanał, zanim cokolwiek otworzysz.

Dbaj o przeszkolenie swojego zespołu

Ostatecznie to ludzie są ostatnią linią obrony, jeśli chodzi o ataki. Filtry, uwierzytelnianie i skanowanie załączników zatrzymują wiele zagrożeń, ale wszelkie wiadomości, które się przedostaną, są zaprojektowane tak, by oszukać człowieka.

To właśnie tutaj szkolenie może zrobić ogromną różnicę. Co ważne, firmy powinny szkolić pod kątem dzisiejszych ataków, a nie wczorajszych. Oznacza to przynęty pisane przez AI bez literówek, deepfake’owe głosy i wideo oraz oszustwa przez SMS-y, kody QR i monity MFA, a nie tylko e-mail.