Hoe de Scam Email Analyzer werkt

De Scam Email Analyzer laat u een enkel .msg‑ of .eml‑bestand uploaden (maximaal 5 MB) en geeft onmiddellijk een oordeel op het scherm – Safe, Suspicious, Dangerous of Unknown – met beknopte bevindingen. Er kan slechts één bestand per keer worden ingediend; een tweede bestand in dezelfde aanvraag wordt afgewezen met “Only a single file may be uploaded”. Bestanden van andere typen worden afgewezen met “Only .msg and .eml files are supported”, en onleesbare bestanden geven “Could not parse this file — it may be corrupted or password‑protected”.

Gebruikslimieten

Gratis gebruikers mogen tot vijf bestanden per dag analyseren, terwijl een betaald abonnement de limiet verhoogt tot vijftien. Wanneer de limiet wordt bereikt, toont het hulpmiddel een dialoog die de gratis en premium niveaus vergelijkt. Na het tonen van een resultaat kunt u een nieuwe analyse starten door op de knop “Analyze Another File” te klikken, waarmee de interface wordt gereset.

Bepaling van het oordeel

Het oordeel begint bij Safe en wordt alleen verhoogd – nooit verlaagd – door de ernstigste bevinding in de e‑mail. De vier mogelijke uitkomsten zijn:

• Safe: geen technische of AI‑gedreven bevindingen verhogen het niveau.
• Suspicious: ten minste één bevinding van Suspicious ernst (bijv. SPF‑fout, verdacht bijlage‑naam, mismatch tussen weergave‑ en doel‑link).
• Dangerous: elke Dangerous bevinding (bijv. DKIM‑ of DMARC‑fout, macro‑ingeschakeld Office‑document, tegenstrijdigheid tussen inhoud en bijlage, AI‑gedetecteerde impersonatie).
• Unknown: de AI‑beoordeling kon geen oordeel vormen en geen technische controles leverden een resultaat op.

Elk oordeel wordt vergezeld van korte tags die de controles benoemen die het hebben geactiveerd. Wanneer alleen de AI de beslissing neemt, is de tag ai-flagged; wanneer de AI slechts inconclusief is, is de tag inconclusive. Een inklapbaar volledig rapport bevat een duidelijke verhaallijn en een lijst van elke individuele bevinding, gelabeld met de ernst (Informational, Suspicious, Dangerous) en bron (technische controle of AI‑review).

Technische controles

Verzenderauthenticatie

De analyzer leest de SPF‑, DKIM‑ en DMARC‑resultaten die al door de ontvangende server zijn vastgelegd. Er worden geen live DNS‑lookups uitgevoerd. Een DKIM‑ of DMARC‑fout wordt behandeld als Dangerous, een SPF‑fout als Suspicious, en de afwezigheid van een authenticatierecord wordt gerapporteerd als “not verifiable” zonder het oordeel te beïnvloeden. Wanneer meerdere authenticatierecords bestaan, wordt de record het dichtst bij de ontvanger gebruikt en wordt de bronserver in het rapport weergegeven.

Bijlage‑controles

Bijlage‑bestandsnamen worden gescand op 22 bekende uitvoerbare of script‑extensies (bijv. .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Een overeenkomst wordt gemarkeerd als Suspicious. Dubbele extensies zoals invoice.pdf.exe worden expliciet gerapporteerd als “a common technique to disguise executables as documents”. Macro‑ingeschakelde Office‑bestanden (.docm, .xlsm, .pptm) worden eveneens gemarkeerd als Suspicious. Het hulpmiddel vergelijkt de feitelijke bestandssignatuur van elke bijlage met de verklaarde extensie; een mismatch wordt gerapporteerd als Suspicious met zowel het geclaimde als het gedetecteerde type vermeld. Moderne Office‑archieven (.docx, .xlsx) worden correct herkend en niet gemarkeerd als vermomde archieven. Bijlage‑inhoud verlaat nooit de server en wordt niet naar het AI‑model gestuurd; de AI ontvangt alleen de bestandsnaam en het verklaarde type.

Link‑controles

Elke hyperlink in de e‑mailtekst wordt onderzocht op een discrepantie tussen het weergegeven adres en de werkelijke doel‑URL. Wanneer de zichtbare tekst lijkt op een webadres of domein en de twee verschillen, wordt de link gemarkeerd als Suspicious en worden beide hosts getoond. Platte call‑to‑action‑tekst zoals “Click here” triggert deze controle niet, zodat normale knoppen niet gemarkeerd worden. Links worden nooit bezocht en er wordt geen externe reputatieservice geraadpleegd.

AI‑review

Naast de technische controles voert een enkele AI‑review het onderwerp, de platte‑tekst‑body, afzenderadres, afzender‑weergavenaam, bijlage‑lijst en alle technische bevindingen uit. De AI zoekt naar mismatchende weergavenamen, merk‑typosquatting, look‑alike‑domeinen en tegenstrijdigheden tussen geclaimde en feitelijke bijlagen. Elke tegenstrijdigheid tussen body en bijlage wordt automatisch geclassificeerd als Dangerous. De AI genereert een duidelijke narratief voor de bovenkant van het volledige rapport, gericht op niet‑technische gebruikers. Als de AI‑review niet kan worden voltooid maar technische controles al bevindingen hebben opgeleverd, wordt het technische oordeel getoond samen met een melding dat AI‑analyse niet beschikbaar was. Als de AI niet kan draaien en er geen technische bevindingen bestaan, faalt de aanvraag in plaats van een vals “Safe” resultaat terug te geven.

Transparante beperkingen

• Geen live DNS‑herverificatie van SPF, DKIM of DMARC records.
• Macro‑ingeschakelde documenten worden gemarkeerd, maar hun macro‑code wordt niet geëxtraheerd of geanalyseerd.
• Bijlagen worden nooit uitgevoerd, geopend in een sandbox, of gescand door een antivirus‑engine.
• Links worden alleen als tekst geanalyseerd; ze worden niet gevolgd en er wordt geen reputatiedatabase gebruikt.