Зміцнення довіри: як гарантувати безпеку листів і захистити дані підписників

Напевно ви вже прочитали сотні статей про те, як не потрапити в пастку скамерів, які намагаються вкрасти вашу інформацію за допомогою листів. Сьогодні ми розповімо вам, як компанії та бренди можуть захистити свої листи від спроб фрода і убезпечити дані підписників.

У цій статті наводяться поради з використання протоколів безпеки та безпечного email-дизайну, а також описується, як Stripo захищає дані клієнтів і конфіденційність підписників.

Що таке безпека листів?

Безпека листів охоплює набір протоколів, технологій і практик, спрямованих на захист акаунтів, контенту і комунікації від несанкціонованого доступу, неправильного використання або витоку. Мета — забезпечити конфіденційність, цілісність і доступність даних листування електронною поштою, а також запобігти кіберзагрозам, зокрема фішингу, спуфінгу та атакам шкідливого ПЗ.

Безпека листів передбачає захист пошти від злому, захист доменів від підміни, запобігання фішинговим атакам, запобігання фроду, блокування шкідливих програм, фільтрацію спаму і використання шифрування для захисту вмісту листів від несанкціонованого доступу.

Чому компаніям необхідно захищати свої листи від кіберзлочинців?

Сьогодні питання довіри клієнтів до компанії стоїть на першому місці. Люди воліють користуватися послугами компаній, яким вони довіряють, і якщо клієнти надають свої дані, то ця довіра має бути безумовною.

Якщо ви не захистите свої листи, і скамери зможуть використовувати їх для фальсифікації електронної адреси компанії та самих листів для надсилання шахрайських повідомлень, це може становити загрозу для вашого бізнесу, а саме:

• втрата довіри клієнтів — коли клієнти отримують листи, вони очікують, що компанія гарантуватиме безпеку своїх листів, щоб ті були справжніми і надійними;
• шкода репутації бренду — жертви email-скаму компанії можуть асоціювати негативний досвід із легальними компаніями, що призведе до втрати лояльності клієнтів і потенційного доходу;
• фінансові втрати, пов'язані з крадіжкою фінансової інформації або отриманням платежів на шахрайські рахунки — у вас можуть бути прямі та непрямі втрати від того, що клієнти йдуть;
• штрафи та судові позови через недотримання правил захисту даних, які призвели до витоку.

Які потенційні загрози існують в email-маркетингу?

Ось які способи використовують сучасні кіберзлочинці, щоб дістатися до даних компанії та підписників, і як вони використовують для цього email-дизайн:

1. Фішингові атаки. Один із значних ризиків — використання оформлення листів для фішингу. Шахраї можуть копіювати дизайн справжніх листів від відомих компаній, щоб переконати одержувача в достовірності листа і змусити його надати конфіденційну інформацію, наприклад, паролі або дані кредитної картки.
2. Спуфінг. Зловмисники підробляють хедери листів, щоб створити враження, ніби вони отримані з надійного джерела. Дизайн листа може бути використаний для імітації електронної адреси відправника, що може ввести одержувача в оману щодо достовірності джерела листа.
3. Поширення шкідливого ПЗ. Листи можуть містити шкідливі вкладення або посилання, які при відкриванні інсталюють на пристрій одержувача шкідливе ПЗ, що ставить під загрозу безпеку даних або переводить одержувача на небезпечний сайт. Дизайн листа може бути розроблений таким чином, щоб приховати підозрілі елементи або надати їм видимість нешкідливих.
4. Business email compromise (BEC). Під час BEC-атаки ціль обманом змушують передати зловмиснику конфіденційні дані або, здебільшого, гроші.
5. Man-in-the-middle (MITM) атака. Перехоплені листи можуть бути прочитані, змінені або вкрадені зловмисниками під час передачі, що призведе до витоку даних.
6. Несанкціонований доступ. Слабкі паролі, відсутність двофакторної автентифікації та зламані поштові акаунти можуть дозволити неавторизованим особам отримати доступ до листів із чутливою інформацією.
7. Витік даних. Акаунти та листи містять чутливу інформацію. Їх випадкове надсилання небажаним адресатам може призвести до витоку даних і втрати конфіденційної інформації.
8. Відстеження активності. У листах можуть використовуватися приховані зображення або пікселі відстеження, які надають відправнику інформацію про те, коли і як часто ви відкриваєте його листи. Це може бути проблемою конфіденційності.
9. HTML та JavaScript. Використання HTML і JavaScript у листах може підвищити ризики для безпеки, оскільки вони можуть містити вразливі елементи або використовуватися для виконання шкідливих скриптів.

Загрози, пов'язані з електронною поштою, постійно з'являються, а ті, що існують, — еволюціонують. Email-маркетологам необхідно впроваджувати рішення з забезпечення захищеності листів, оскільки наслідки таких кібератак для бізнесу можуть бути доволі невтішними.

На які аспекти слід звернути увагу, щоб забезпечити захищеність листів?

Ефективний захист листів — це не просто використання технологій для виявлення загроз і захисту даних і цифрових активів. Ми розділяємо заходи, що використовуються для захисту даних і безпеки листів, на три групи:

• те, у чому допомагають поштові клієнти, включно з шифруванням, спам-фільтрами, аналізом тіл листів і вкладень;
• дії, які компанія може зробити самостійно або шляхом впровадження спеціальних протоколів безпеки;
• задачі, з якими можуть допомогти конструктори листів і ESP, включно з тими, які вже виконує Stripo.

Як поштові клієнти захищають одержувачів від шахрайських листів

Поштові клієнти піклуються про безпеку листів своїх користувачів. Вони вживають заходів щодо блокування шкідливої активності в режимі реального часу, не дозволяючи їй завдати шкоди великій аудиторії та захищаючи інформацію.

Шифрування

Шифрування — це процес обробки даних у такий спосіб, щоб тільки авторизовані особи могли їх розшифрувати та прочитати. Шифрування схоже на надсилання листа в запечатаному конверті.

TLS (Transport layer security) шифрує листи під час передачі, щоб запобігти їх перехопленню. Поштові провайдери, як-от Gmail, Outlook і Yahoo, використовують TLS для захисту листів під час передавання.

Під час надсилання листа сервер-відправник ініціює TLS-рукостискання з сервером-одержувачем. Таким чином створюється захищений шифрований канал з використанням криптографічних ключів. Потім листи шифруються і передаються цим захищеним каналом, що запобігає їх перехопленню неавторизованими особами під час пересилання.

Спам-фільтри

Спам-фільтри аналізують кожен лист, щоб захистити одержувачів від підозрілих листів:

• фільтри перевіряють листи на наявність ключових слів, фраз і підозрілих шаблонів, характерних для спаму і фішингу;
• перевірка відправника — відомі шкідливі відправники блокуються, тоді як надійні відправники пропускаються;
• поведінковий аналіз — фільтри вчаться на діях користувачів, визначаючи листи, позначені як спам або справжні, щоб точніше їх розпізнавати.

Аналіз листів і вкладень

Ще одна задача, яку поштові клієнти виконують самостійно, — перевірка URL-адрес. Фільтри перевіряють посилання в листах на наявність відомих шкідливих URL або редирект-шаблонів. Вкладення перевіряються на наявність шкідливого ПЗ або виконуваних файлів, які можуть завдати шкоди одержувачу.

Що можуть зробити бренди і компанії, щоб захистити себе

Компанія може вирішити деякі проблеми безпеки листів за допомогою багатофакторної автентифікації (MFA), налаштувань антивірусного захисту, регулярного моніторингу, навчання користувачів основам безпеки листів, розуміння складної природи сучасних загроз та інших заходів усередині компанії.

Інша група проблем вирішується шляхом впровадження надійних заходів захисту листів, як-от додаткове шифрування, спеціальні протоколи автентифікації (SPF, DKIM і DMARC), а також використання захищеного поштового шлюзу.

Від SPF до протоколів BIMI: методи автентифікації листів

Система доменних імен (DNS) зберігає загальнодоступні записи про домен, включно з IP-адресою цього домену. За допомогою DNS користувачі з'єднуються з сайтами та надсилають листи.

Спеціальні типи записів DNS — протоколи SPF, DKIM і DMARC — допомагають переконатися, що листи надходять від справжнього джерела, а не від фейкового. Поштові провайдери перевіряють листи за всіма трьома записами, щоб переконатися, що їх було надіслано саме з того місця, про яке йдеться, і що їх не було змінено на шляху.

Довіра є фундаментальним фактором у забезпеченні доставлюваності листів. Стандарти автентифікації та шифрування, як-от PGP (Pretty Good Privacy) і DKIM (Domain Keys Identified Mail), допомагають перевірити особистість відправника та переконатися, що контент листа не було підроблено. Наприклад, DKIM додає до листів маркер автентифікації, що підтверджує відсутність змін у вмісті.

Кіт Кузманофф,

Провідний спеціаліст зі стратегії email-маркетингу.

Протягом останніх років додатковим способом підтвердження автентичності домену відправника стали BIMI і синя пташка верифікації в Gmail. BIMI дає змогу відображати логотип компанії в пошті, що ще більше підвищує лояльність до бренду.

Щоб ці протоколи безпеки підтвердили ваш домен в очах поштовиків, компанія повинна ініціювати і завершити процедури верифікації.

Відтепер необхідно вживати запобіжних заходів для захисту бренду від спуфінгу або імперсонації. У минулому це були застережні рекомендації. Починаючи з 1 кварталу 2024 року ці елементи стануть обов'язковими для листів. Поштові провайдери мають справу з більшою кількістю спаму, ніж будь-коли раніше. Автентифікація брендів будь-якого розміру допомагає вберегти пошту від несанкціонованого використання та захистити клієнтів і співробітників від неправомірних дій.

Меттью Вернхаут,

Principal Email Advisor у Email Industries.

Вам також може сподобатися

Як покращити доставлюваність за допомогою email-автентифікації

End-to-end шифрування (E2EE)

Захищені поштові провайдери, як-от ProtonMail, Tutanota і деякі спеціалізовані корпоративні рішення, використовують end-to-end шифрування.

Пристрій відправника шифрує вміст листа за допомогою відкритого ключа одержувача. Розшифрувати вміст листа можна тільки за допомогою закритого ключа одержувача, що гарантує, що тільки відправник і одержувач можуть прочитати лист. Цей метод гарантує, що навіть поштові провайдери або посередники не зможуть отримати доступ до контенту, забезпечуючи максимальну конфіденційність і безпеку.

Використання CDN (Content Delivery Network), наприклад Cloudflare, може підвищити рівень безпеки. CDN захищають кінцевих користувачів, анонімізуючи IP-адреси та захищаючи дані під час передавання. Це економічно ефективний спосіб підвищити рівень безпеки email-кампаній.

Кіт Кузманофф,

Провідний спеціаліст зі стратегії email-маркетингу.

Захист від зовнішнього втручання

Впоратися з цією задачею вам допоможуть безпечні поштові сервіси та різні інструменти захисту листів від шкідливих програм і хакерів. До них належать безпечні поштові шлюзи, антивірусне ПЗ і засоби захисту від фішингу.

Наприклад, щоб наші клієнти були впевнені в безпеці своїх даних, Stripo пройшла сертифікацію з захисту інформації:

• у 2023 році компанія Stripo пройшла сертифікацію SOC 2 і вже отримала бейдж, що підтверджує нашу позицію лідера в галузі захисту даних;
• ми отримали сертифікат міжнародного стандарту безпеки «ISO/IEC 27001:2013» і пройшли оцінювання CASA компанії Google.

Ці та інші підтвердження щодо безпеки даних можна переглянути в нашому Trust Center.

Але оскільки Stripo — це конструктор листів, наша турбота про їхню безпеку не обмежується тільки цим. Нижче ми розповімо вам, як ми захищаємо кожен лист, який клієнти створюють у нашому конструкторі.

Як ESP і сторонні інструменти можуть допомогти: практики Stripo з безпечного дизайну та розробки листів

Деякі проблеми безпеки листів вирішуються за допомогою сторонніх інструментів, що використовуються для їх створення. У разі блокування спаму / фішингових атак та інших шахрайських листів ESP / сторонні інструменти виконують велику роботу з запобігання надсилання таких листів. Якщо Gmail і Yahoo блокують відображення надісланого підозрілого контенту, то сторонні інструменти гарантують, що такі листи (або дані, що містяться в них, у режимі реального часу) не будуть надіслані.

Як конструктори листів можуть сприяти захисту даних

Конструктор листів може зробити значний внесок у підвищення їхньої безпеки. Ось кілька ключових аспектів, на які може вплинути редактор:

1. Фільтрація та очищення контенту. Редактори можуть автоматично фільтрувати шкідливий код, наприклад скрипти, і чистити HTML-код, видаляючи потенційно небезпечні елементи. Це допомагає запобігти міжсайтовим скриптовим атакам (XSS) та іншим загрозам.
2. Запобігання фішингу. Просунуті редактори можуть надавати функції перевірки посилань і візуальної стилізації, щоб знизити ризик фішингових атак. Вони можуть попереджати користувачів про підозрілі посилання або зовнішній вигляд, які можуть бути використані для скаму.
3. Інтеграція з антивірусним ПЗ. У деякі редактори листів вбудовані антивірусні програми для перевірки вкладень на наявність шкідливого коду.
4. Обмеження використання HTML і JavaScript. Безпечні редактори можуть обмежувати або повністю деактивувати активні елементи, зокрема JavaScript, знижуючи ризик запуску шкідливого коду.
5. Підтримка захищених протоколів. Редактори можуть підтримувати протоколи шифрування і цифрові підписи листів для забезпечення конфіденційності та підтвердження особи відправника.

Як Stripo захищає дані клієнтів і бореться з шахрайством під час надсилання листів

Ми слідкуємо за тим, щоб зловмисники не використовували листи, створені в нашому редакторі, для шахрайських дій, і захищаємо акаунти клієнтів від злому.

Ось що вже робить Stripo як конструктор листів і які проблеми клієнтів він вирішує.

1. Для захисту акаунтів клієнтів і листів із чутливими даними від різноманітних загроз безпеки ми запровадили двофакторну автентифікацію для входу в акаунти Stripo.
2. Щоб шахраї не скористалися нашим сервісом, ми приділяємо особливу увагу реєстрації та використанню безплатного тарифного плану, оскільки скамери найчастіше використовують саме безплатний план:
   • ми не дозволяємо реєстрацію з одноразових поштових скриньок. Звісно, таких сервісів сотні тисяч, і в нас є доволі солідний список таких сервісів, який ми постійно поповнюємо;
   • ми не дозволяємо користувачам починати створювати листи, доки вони не підтвердять свою електронну адресу;
   • на безплатному тарифному плані ми не дозволяємо надсилати тестові листи на сторонні електронні адреси, а тільки на свою;
   • на безплатному тарифному плані ми не дозволяємо переглядати листи за публічним посиланням, оскільки в такий спосіб створюються фішингові листи та використовуються як домени.
3. Модерація контенту і валідація коду листів. Ця проактивна перевірка стає головним обов'язком сервісів з точки зору безпеки. Ми автоматично вирізаємо всі скрипти, вставлені в код листа на рівні редактора, дозволяючи зберігати скрипти тільки в певному домені. Якщо система виявляє лист, що містить динамічні AMP-компоненти, його передають на ручну модерацію.
4. Фільтрація запитів на рівні хедерів. Ми блокуємо запити і не надаємо відповіді, якщо хедери CORS або тіло запиту відрізняються від очікуваних.
5. Ми моніторимо активність усіх служб, створених на рівні LB. Алгоритм автоматично надсилає попередження в разі виявлення аномалій. Це може бути занадто велика кількість запитів з одних і тих самих IP-адрес за певний період або миттєвий сплеск запитів одразу після створення сервісу.
6. Для боротьби з відправниками спаму ми співпрацюємо зі SPAMCOP і отримуємо сповіщення про спамерські листи, щоб знайти акаунти користувачів і миттєво їх заблокувати.

Насправді важлива робота має виконуватися проактивно. Мета сервісів — запобігти надсиланню шкідливого контенту, і ми докладаємо багато зусиль у цьому напрямі. Stripo захищає як дані наших клієнтів, так і конфіденційність їхніх підписників.

Дмитро Кулаксиз,

COO у Stripo.

На завершення

Безпека листів є вкрай важливою для захисту чутливих даних і збереження довіри клієнтів в email-маркетингу. Компанії можуть захистити свої комунікації та запобігти витоку даних, вживаючи надійних заходів із дотримання безпеки, зокрема виявлення фішингу, захист від вірусів і шифрування.

Для бізнесу дуже важливо навчати своїх співробітників розпізнавати загрози і використовувати передові інструменти, що дозволяють отримувати інформацію про небезпеку в режимі реального часу. Пріоритет безпеки листів знижує ризики і підвищує репутацію бренду та довіру клієнтів. Зрештою, проактивний підхід до гарантування безпеки листів необхідний для довгострокового успіху будь-якого бізнесу.

У наступній статті ми зануримося в деталі, обговоримо практики і наведемо приклади використання безпечного email-дизайну.