Что такое спам?

Спам — нежелательные массовые сообщения: не только электронные письма, но и сообщения в мессенджерах, соцсетях и комментариях. Спам может быть рекламой, мошенничеством или способом распространения вредоносных ссылок. Доля спама меняется со временем, поэтому старые проценты не описывают сегодняшнюю почту.

Откуда берутся нежелательные письма

Отправители используют адреса из открытых публикаций, утечек данных и списков рассылки. Иногда адрес в поле From подделан, а реальный источник виден только при анализе маршрута сообщения и результатов аутентификации. SPF, DKIM и DMARC помогают почтовым системам проверять происхождение письма, но не гарантируют безопасность его содержимого.

Что делать с подозрительным сообщением

Не открывайте вложение и не переходите по ссылке, если не уверены в отправителе и цели письма. Проверяйте адрес сайта отдельно от текста ссылки. Помечайте сообщение как спам средствами почтовой службы; если оно выглядит как попытка входа в ваш аккаунт, откройте нужный сервис через знакомый адрес, а не через письмо.

Что показывает проверка IP

Почтовые фильтры могут учитывать репутацию IP-адреса отправляющего сервера, содержимое сообщения и результаты проверки домена. Наличие IP в блок-листе — сигнал для диагностики, а не доказательство, что конкретный пользователь рассылал спам. Проверка IP в спам-базах показывает данные доступных списков на момент запроса; причины и порядок удаления зависят от каждого списка.

Спам, реклама и мошенничество

Не каждое рекламное письмо одинаково: человек мог подписаться на рассылку и забыть об этом, а мог никогда не давать согласия. У легитимного отправителя обычно есть понятное объяснение подписки и рабочий способ отказаться от писем. Однако кнопка «отписаться» в явно мошенническом письме может вести на опасный сайт или подтверждать активность адреса. В таком случае безопаснее воспользоваться функцией «спам» в почтовом интерфейсе.

Мошенническое письмо может обещать выигрыш, требовать срочного платежа или имитировать уведомление банка. Его цель — заставить открыть ссылку, отправить деньги или раскрыть данные. Вложения тоже могут быть опасны, даже если сообщение написано без языковых ошибок и содержит знакомый логотип. Оценивайте не стиль оформления, а независимую проверку ситуации через официальный канал организации.

Как адрес попадает в список

Адреса собирают из открытых сайтов и комментариев, получают из утечек или покупают в наборах сомнительного происхождения. Иногда сообщение приходит на случайно сгенерированный адрес распространённого домена; такой факт не доказывает, что вашу конкретную переписку взломали. Если внезапно выросло количество спама, проверьте безопасность почтового аккаунта, но не делайте вывод об утечке только по одному письму.

Для регистрации в малознакомых сервисах можно использовать отдельный адрес или алиас, если почтовый провайдер это поддерживает. Так проще понять источник нежелательной рассылки и отключить скомпрометированный алиас. Важную почту, восстановление аккаунтов и финансовые уведомления лучше отделять от случайных регистраций.

Почему поле отправителя недостаточно

Видимое имя отправителя и поле From могут отличаться от технического пути передачи письма. Злоумышленник способен указать знакомое имя или создать домен, похожий на настоящий. Для разбора полезны полный адрес, домен в ссылке, заголовки Received и Authentication-Results, но интерпретировать их нужно с учётом того, какой сервер добавил запись. Скопированный злоумышленником заголовок не становится доказательством подлинности.

Если письмо заявляет, что пришло от поддержки сервиса, откройте сайт через сохранённую закладку или вручную набранный адрес. Сравните уведомление внутри аккаунта и при необходимости обратитесь в поддержку через официальный контакт. Не отвечайте на письмо с паролем, одноразовым кодом или фотографией документа.

Как помогают SPF, DKIM и DMARC

SPF позволяет домену указать отправляющие серверы, DKIM добавляет проверяемую криптографическую подпись к выбранным частям письма, а DMARC связывает результаты проверок с доменом видимого отправителя и задаёт политику обработки. Они уменьшают возможности подделки домена, но не проверяют добросовестность текста и не мешают злоумышленнику рассылать письма со своего собственного домена.

Проверки могут давать сбои при пересылке или ошибках настройки. Поэтому единичный результат следует оценивать вместе с источником сообщения и политикой получателя. Технические правила описаны в RFC 7208, RFC 6376 и RFC 7489.

Как работают фильтры

Почтовая система может учитывать репутацию IP и домена, аутентификацию, характер отправки, ссылки, вложения и пользовательские жалобы. Это вероятностная оценка: полезное письмо иногда оказывается в папке спама, а вредное — во входящих. Если ждёте важное сообщение, проверьте папку спама и адрес отправителя прежде, чем добавлять его в исключения.

Массовая рассылка с одного IP может повлиять на других пользователей общего сервера. Для владельца почтового домена важны корректные DNS-записи, защита учётных записей, контролируемая отправка и работа с жалобами. Покупка списков адресов и отправка без понятного согласия ухудшают доставляемость и доверие.

Практический порядок действий

Получили подозрительное письмо — не открывайте ссылки и вложения, сохраните сообщение для жалобы и отметьте его средствами почтовой службы. Если уже перешли по ссылке, но ничего не вводили, закройте страницу и проверьте, не началась ли загрузка файла. Если ввели пароль, смените его через официальный сайт, завершите посторонние сеансы и включите многофакторную защиту.

Если ввели платёжные данные или одноразовый код, обратитесь в банк или соответствующую службу через известный канал. При рабочем аккаунте сообщите администратору: отдельное письмо может быть частью атаки на организацию. Не пересылайте подозрительный файл коллегам для «проверки».

Как понимать блок-листы

Блок-листы собирают сигналы о сетях, замеченных в нежелательной рассылке, открытых ретрансляторах или других нарушениях правил конкретного списка. Попадание IP в список не доказывает вину владельца отдельного почтового ящика. Причина может быть связана с общим хостингом, старой активностью адреса или ошибочной конфигурацией.

Если вы администрируете почтовый сервер, проверьте журнал отправки, безопасность учётных записей и правила списка. Устраняйте причину до обращения за исключением. Сравнивайте несколько источников и время обновления, а не полагайтесь на один статус.

Что изменилось со временем

Исторические оценки доли спама и перечни популярных тем быстро устаревают, поэтому не стоит использовать цифры 2010–2011 годов как текущую статистику. Каналы тоже меняются: нежелательные сообщения встречаются в мессенджерах, социальных сетях, комментариях и push-уведомлениях. Принцип проверки остаётся прежним — оценивать источник, ссылку и запрошенное действие, а не доверять сообщению из-за знакомого оформления.

Разбирайте аутентификацию вместе с маршрутом письма

SPF, DKIM и DMARC отвечают на разные вопросы и не заменяют анализ полного сообщения. Для подозрительного письма сопоставьте Authentication-Results с цепочкой Received и доменами ссылок. Практические руководства: заголовки email и SPF, DKIM и DMARC.