Еволюція спаму в електронній пошті

Перший спам-лист надіслав Gary Thuerk у 1978 році приблизно 400 людям. Лист містив брошуру про комп’ютери DECSYSTEM-20. Він мав шалений успіх і приніс близько $13 million продажів. Він також відкрив електронну пошту як новий канал для взаємодії з клієнтами та продажу продуктів.

Існує два способи дивитися на спам в електронній пошті.

1. Він потрапляє у вашу папку вхідних, ви натискаєте «видалити», то в чому проблема?

2. Міжнародна гра в кішки-мишки, де ваша папка вхідних і те, що в неї потрапляє, опиняється на передовій, поки великі технологічні компанії, державні установи та злочинні організації борються за вашу безпеку, вашу увагу та ваш банківський рахунок.

Другий погляд може звучати драматично, але якщо він позбавить вас кількох головних болів і, можливо, навіть збереже трохи грошей, то в цьому варто розібратися, правда?

Ну… усе починається з жарту про банку консервованого м’яса.

Що таке спам-лист і чому він називається спамом?

Є багато речей, якими є спам: реклама, шахрайство, небажані розсилки, і це ще не все. Але є одна річ, чим спам точно не є: запрошеним. Як рій комарів, що з’являється при першій згадці про літо, спам майже завжди приходить масово. Він небажаний, незапитаний і страшенно дратівливий.

Але чому він має ту саму назву, що й банка консервованого м’яса зі свинячої лопатки та шинки? За це ми можемо подякувати знаменитому скетчу Monty Python, у якому слово «spam» повторювалося знову і знову, майже до божевілля. Саме це закріпило «spam» як символ настирливого й небажаного. У 1993 році один кмітливий користувач інтернету взяв цю ідею й назвав потік повторюваних дописів спамом, і вуаля — назва прижилася.

Але, попри своє химерне походження, саме слово не передає, наскільки руйнівним може бути спам — і як важко його позбутися. Як і комарі, спам-листи часто несуть небезпечний вміст, який може наробити лиха на ваших пристроях. Не кажучи вже про ризик для ваших персональних даних і мігрень, яку може спричинити папка вхідних, заповнена сумнівною рекламою. Але розуміння історії допомагає. Якщо ви зрозумієте, як спам потрапляє до вашої папки вхідних, вам буде легше не впускати його туди.

Коли було надіслано перший спам-лист?

Тож звідки береться спам-пошта? Ви можете здивуватися, дізнавшись, що перший спам-лист було надіслано ще до появи інтернету. Його надіслала не якась тіньова злочинна група, а один маркетолог, який намагався продати нову лінійку комп’ютерів, і, хочете вірте, хочете ні, це принесло мільйони.

У 1978 році менеджер із маркетингу Gary Thuerk надіслав лист приблизно 400 людям через ARPANET, військову мережу, що передувала інтернету. Його повідомлення було запрошенням на презентацію нових комп’ютерів DECSYSTEM-20. Лист приніс близько $13 million продажів, але також роздратував майже всіх, хто його отримав.

Найцікавіша частина цієї історії зі спам-минулого полягає не в тому, коли саме було надіслано лист, а в двосічності, що стоїть за email-спамом. З одного боку, на рекламі, надісланій сотням, тисячам або навіть мільйонам людей, можна заробити шалені гроші. Але спам, безумовно, дратує. На жаль, саме це протистояння й супроводжуватиме спам протягом усієї його бурхливої історії.

Як спам еволюціонував протягом десятиліть?

Якщо вам пощастило вирости в епоху захисту від Google і Microsoft, ви можете не пам’ятати ранні дні інтернету, коли видалення спаму з папки вхідних було радше ручним завданням.

Хронологія еволюції email-спаму

1980-ті–1990-ті: дикий захід електронної пошти

У 1983 році, за рік до передбачення George Orwell про тоталітарну наддержаву, формувалося дещо зовсім інше. Уперше стало можливим з’єднувати між собою кілька незалежних мереж, створюючи основу для сучасної глобальної мережі мереж, або, як ми любимо її називати, інтернету.

Протягом наступного десятиліття мільйони нових користувачів з’явилися онлайн і почали створювати адреси електронної пошти. Не існувало центрального органу, який міг би сказати: «так не можна», і email фактично міг слугувати безкоштовним рекламним каналом. Одне повідомлення розсилалося тисячам, навіть мільйонам людей майже без жодних витрат.

Яким був результат? У 1990-х спам вибухово зріс, як і зусилля з його контролю. У 1994 році юристи Canter & Siegel запустили свою сумнозвісну рекламу «Green Card Lottery» у тисячах груп Usenet, що часто вважається першою великою комерційною спам-кампанією. Незабаром з’явився й захист. Mail Abuse Prevention System (MAPS) у 1996 році запустила перший Real-time Blackhole List, блокуючи пошту з відомих спам-серверів, а такі групи, як Spamhaus, створювали блоклисти та ділилися даними, щоб не пускати спамерів.

2000-ті: десятиліття, коли спам потемнів

2000-ті, можливо, й ознаменували кінець тисячоліття, але для багатьох саме тоді по-справжньому почалися дратівливі листи, що заполонили папки вхідних. Google, Yahoo та Microsoft усі долучилися до боротьби зі спамом. Але це вже були не просто безглузді оголошення чи схеми швидкого збагачення — спам ставав темнішим. Спамери почали використовувати «ботнети» — мережі заражених комп’ютерів — для масового розсилання спаму.

Уряди вирішили, що настав час втрутитися. У 2003 році США запровадили закон CAN-SPAM Act (Controlling the Assault of Non-Solicited Pornography and Marketing). Він зобов’язував спамерів виконувати запити на відмову від розсилки та уникати оманливих тем листів, але проблема полягала в тому, що відповідальність за відписку все одно залишалася на одержувачах. Європа, зі свого боку, пішла жорсткішим шляхом. ЄС запровадив систему opt-in для email-маркетингу, що означало: компанії не можуть надсилати комерційні листи без попереднього дозволу.

2000-ті стали періодом справжнього вибуху гри в кішки-мишки, яка й визначила спам. Спамери вигадували нові трюки, а захисники знаходили способи їм протидіяти. Візьмімо, наприклад, байєсівську фільтрацію: вона сканує слова в листі, прораховує ймовірності та вирішує, це сміття чи справжнє повідомлення. Коли вона тільки з’явилася, це був прорив у тому, як поштові провайдери могли боротися зі спамом. У 2004 році Bill Gates навіть передбачав, що проблему спаму буде вирішено протягом двох років. Але, як завжди, спамери швидко адаптувалися.

Приклади того, як це протистояння зі спамом працює на практиці:

Сучасна епоха: коли спам навчився думати

Stephen Hawking колись попереджав, що одного дня люди можуть стати для AI тим, чим собаки є для людей, і це протверезна думка. І хоча це може звучати похмуро, не буде перебільшенням сказати, що зростання AI може бути настільки ж трансформаційним, як винайдення парового двигуна. Тож не дивно, що AI формує боротьбу між тими, хто прагне заробити на спамі, і тими, хто намагається його контролювати. Різниця в тому, що, на відміну від традиційних спам-фільтрів, AI може навчатися й адаптуватися.

Іронія тут у тому, що шахраї використовують ті самі інструменти для покращення своїх спам-листів, які студенти використовують, щоб складати іспити. До появи інструментів AI спам-листи рясніли друкарськими помилками, граматичними помилками та очевидними тривожними сигналами. Тепер, завдяки великим мовним моделям, бездоганно написані спам-листи з локалізованим тоном і персоналізованими зачіпками можна масово надсилати. Замість того щоб надсилати 10’000 однакових листів, шахраї можуть надсилати 10’000 трохи різних листів і обходити фільтри. Пропускаючи текст через моделі, що імітують оцінювання спаму, зловмисники можуть налаштовувати свої повідомлення, доки ті не виглядатимуть «безпечними».

Те саме роблять і поштові гіганти. Вони використовують AI та машинне навчання не лише для сканування вмісту, а й для аналізу поведінки відправника, мережевих сигналів і навіть контексту повідомлень. Наприклад, Gmail тепер може виявляти підозрілі шаблони, як-от раптові сплески листів із нових доменів або вміст, що імітує відомі фішингові приманки, і адаптуватися в реальному часі, щоб зупиняти нові спам-кампанії.

Який вплив спам мав на електронну пошту та бізнес?

Якщо повернутися до історії походження спаму та його тезки з Monty Python, тема була простою: дратівливість. Тоді саме так більшість людей і сприймала спам. Але за наступні десятиліття він став набагато небезпечнішим. Натискання не на те посилання тепер може означати віруси або серйозні фінансові втрати.

І ризикують не лише окремі люди. Починаючи з 2000-х, шахраї вигадали складні способи атакувати більші цілі. Багато з цих схем навіть мають яскраві прізвиська, які применшують те, наскільки серйозними можуть бути наслідки.

Приклади спаму, націленого на бізнес:

Масовий спам і шахрайство – Масові листи й досі щодня заповнюють папки вхідних: від дратівливої реклами до фальшивих лотерей чи схем «нігерійського принца». Це загрози нижчого рівня, але вони захаращують пошту й усе ще можуть обдурити працівників.

Фішингові листи – Імітують надійні бренди та заманюють користувачів на фальшиві сайти. Колись незграбні, ці фішингові листи тепер відшліфовані, автоматизовані, і їх важко відрізнити від справжніх.

Цільовий фішинг і whaling – Цільові атаки з використанням справжніх імен або проєктів, щоб обдурити конкретних працівників. Коли вони спрямовані на керівників, це називається «whaling», і вигода може бути величезною.Business Email Compromise (BEC) – Злочинці видають себе за CEO, постачальників або HR, щоб змусити персонал переказати гроші чи надіслати дані.

Шкідливе ПЗ та програми-вимагачі – Спам часто містить шкідливі вкладення або посилання. Один клік може запустити віруси чи програми-вимагачі, заблокувати цілі системи та коштувати бізнесу мільйони.

Але справжня небезпека — у масштабі наслідків. Спам забирає час у величезних обсягах. Працівники сумніваються в листах, менеджери розслідують хибні тривоги. Усе це підточує продуктивність.

Справжня ціна спаму

За оцінками FBI, лише Business Email Compromise призвів до втрат понад $50 billion between 2013 and 2022. Саме тому боротьба зі спамом постійно розвивається. Тепер фільтри дивляться не лише на ключові слова, а й аналізують шаблони, вкладення та навіть поведінку відправника. Такі закони, як CAN-SPAM і GDPR, встановлюють правила щодо згоди та прозорості. А поштові провайдери додали такі механізми захисту, як SPF, DKIM і DMARC, що значно ускладнює зловмисникам видавати себе за когось іншого.

Як ми боремося зі спамом сьогодні?

Сучасні спам-фільтри працюють на базі AI та машинного навчання. Вони можуть аналізувати поведінку відправника й контекст повідомлення, а потім адаптуватися в реальному часі.

Але обізнаність усе ще важлива. Навіть із найкращими спам-фільтрами навчання працівників має стати ключовою частиною зупинення спаму.

Як захиститися від спам-листів

Сьогодні компанії регулярно проводять програми підвищення обізнаності, які вчать людей не поспішати, помічати тривожні сигнали або перевіряти запити перед діями. Деякі з них включають:

Думайте, перш ніж натискати

Стара добра порада тут усе ще працює. Якщо ви отримали листа, якого не очікували, і не знаєте відправника, не натискайте на випадкове посилання. На комп’ютері можна навести курсор на посилання, а на мобільному — затиснути його, щоб спочатку переглянути справжню адресу призначення. Якщо адреса посилання та справжня адреса відрізняються, це тривожний сигнал.

Якщо ви все ж вирішили натиснути на посилання в листі, не дайте себе обдурити замочком поруч із URL — це не означає, що сайт безпечний. Замочок лише підтверджує, що хтось зашифрував з’єднання. На жаль, фішинговий сайт може отримати SSL-сертифікат так само легко, як і легітимний сайт.

Перевіряйте відправника 

Ім’я, яке відображається в листі, не завжди є справжньою особою відправника. Це тому, що будь-хто може змінити його на щось зовсім інше. Щоб перевірити справжню особу, потрібно подивитися точну email-адресу, з якої надійшов лист.

Іноді це очевидно, наприклад, якщо лист надійшов із дешевої одноразової безкоштовної пошти. Але не завжди все так просто. Зловмисники часто маскують листи, змінюючи кілька символів, наприклад @p4ypal.com. Якщо ви не впевнені, чи лист справжній, найкраще звернутися через офіційні канали зв’язку.

Оберіть провайдера зі SPF, DKIM, DMARC

Коли йдеться про спам, SPF, DKIM, and DMARC — це золотий стандарт автентифікації електронної пошти. Це найкращий спосіб визначити, чи листи, надіслані з вашого домену, справді надіслані вами, чи самозванцем. SPF перевіряє, що лист надійшов із сервера, якому дозволено надсилати пошту від вашого імені. DKIM додає захищений від підробки підпис, тож повідомлення не можна непомітно змінити дорогою. DMARC поєднує ці два механізми та повідомляє серверу-одержувачу, що робити, якщо повідомлення не проходить перевірку.

Хороша новина в тому, що вам не потрібно налаштовувати все це вручну. Хороший провайдер електронної пошти має зробити це за вас. Тож коли обиратимете, де розмістити свою пошту, шукайте того, хто стандартно підтримує SPF, DKIM і DMARC.

Використовуйте 2FA

2FA додає другий рівень безпеки до вашого акаунта. Це означає two-factor authentication і, по суті, означає підтвердження вашої особи двома способами замість одного. Перший — це ваш пароль, другим може бути телефон, застосунок-автентифікатор, відбиток пальця або ключ безпеки.

Це означає, що якщо ваш пароль викрадуть, зловмисник не зможе отримати доступ до вашого акаунта без другої форми автентифікації. Будь-яка 2FA краща, ніж її відсутність. Шукайте поштових провайдерів, які її пропонують, і вмикайте її всюди, де можете, починаючи з електронної пошти.

Будьте обережні з вкладеннями

Люди допитливі, і зловмисники цим користуються. Найкращий спосіб захистити себе — не відкривати вкладення в листах, яких ви не очікували. Це актуально навіть тоді, коли вони надійшли від когось, кого ви знаєте. Причина в тому, що акаунти часто захоплюють, а відправників підробляють.

Завжди ставтеся з особливою обережністю до PDF, документів Word і Excel, архівів ZIP і RAR, HTML-файлів, образів дисків ISO та особливо файлів .exe. Якщо сумніваєтеся, підтвердьте в окремому каналі зв’язку з відправником, перш ніж щось відкривати.

Підтримуйте навченість своєї команди

Зрештою, коли йдеться про атаки, люди є останньою лінією захисту. Фільтри, автентифікація та сканування вкладень зупиняють багато чого, але будь-які повідомлення, що проходять далі, створені для того, щоб обдурити людину.

Саме тут навчання може мати величезне значення. Важливо, щоб компанії готувалися до атак сьогодення, а не вчорашнього дня. Це означає приманки, написані AI без жодних помилок, deepfake-голос і відео, а також шахрайство через SMS, QR-коди та MFA-запити, а не лише через email.