Как работает Анализатор мошеннических писем

Анализатор мошеннических писем позволяет загрузить один файл .msg или .eml (до 5 МБ) и мгновенно получить вывод — Безопасно, Подозрительно, Опасно или Неизвестно — вместе с краткими выводами. Можно загрузить только один файл за раз; второй файл в том же запросе будет отклонён с сообщением «Можно загрузить только один файл». Файлы другого типа отклоняются с сообщением «Поддерживаются только файлы .msg и .eml», а нечитаемые файлы — «Не удалось разобрать файл — возможно, он повреждён или защищён паролем».

Лимиты использования

Бесплатные пользователи могут проанализировать до пяти файлов в день, платная подписка повышает лимит до пятнадцати. При достижении лимита появляется диалог сравнения бесплатного и премиального уровней. После вывода результата можно начать новый анализ, нажав кнопку «Analyze Another File», которая сбрасывает интерфейс.

Определение вывода

Изначально вывод установлен на Безопасно и может только повышаться — никогда не понижается — в зависимости от наиболее тяжёлого обнаружения в письме. Возможные четыре результата:

• Безопасно: ни одно техническое или AI‑обнаружение не повысило уровень.
• Подозрительно: найдено хотя бы одно обнаружение уровня Подозрительно (например, отказ SPF, подозрительное имя вложения, несоответствие отображаемой ссылки).
• Опасно: любое обнаружение уровня Опасно (например, отказ DKIM или DMARC, документ Office с макросами, противоречие между телом письма и вложением, имитация, обнаруженная ИИ).
• Неизвестно: ИИ‑обзор не смог вынести решение, и технические проверки не дали результата.

Каждому выводу сопутствуют короткие метки, указывающие, какие проверки его вызвали. Если решение принято только ИИ, метка будет ai-flagged; если ИИ просто не смог дать окончательный результат, метка будет inconclusive. Разворачиваемый полный отчёт содержит понятное повествование и список всех отдельных находок с указанием их уровня серьёзности (Информационный, Подозрительный, Опасный) и источника (техническая проверка или ИИ‑обзор).

Технические проверки

Аутентификация отправителя

Анализатор читает результаты SPF, DKIM и DMARC, уже записанные сервером‑получателем. Живые DNS‑запросы не выполняются. Отказ DKIM или DMARC считается Опасным, отказ SPF — Подозрительным, а отсутствие любой записи аутентификации помечается как «не проверяется» без влияния на вывод. При наличии нескольких записей используется самая близкая к получателю, её сервер‑источник указывается в отчёте.

Проверка вложений

Имена файлов вложений сканируются на наличие 22 известных исполняемых или скриптовых расширений (например, .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Такое совпадение отмечается как Подозрительно. Двойные расширения, например invoice.pdf.exe, явно помечаются как «распространённый приём маскировки исполняемых файлов под документы». Файлы Office с макросами (.docm, .xlsm, .pptm) также отмечаются Подозрительно. Инструмент сравнивает фактическую сигнатуру файла с заявленным расширением; несоответствие помечается как Подозрительно с указанием обоих типов. Современные архивы Office (.docx, .xlsx) распознаются корректно и не считаются замаскированными. Содержимое вложений никогда не покидает сервер и не отправляется ИИ‑модели; ИИ получает только имя файла и объявленный тип.

Проверка ссылок

Каждая гиперссылка в теле письма проверяется на расхождение между отображаемым адресом и реальной целевой URL. Если видимый текст выглядит как веб‑адрес или домен и отличается от цели, ссылка помечается как Подозрительно и показываются оба хоста. Обычный CTA‑текст типа «Click here» не инициирует эту проверку, чтобы обычные кнопки не помечались. Ссылки не посещаются и внешние сервисы репутации не используются.

ИИ‑обзор

Помимо технических проверок, единичный ИИ‑обзор обрабатывает тему, текст в формате plain‑text, адрес отправителя, отображаемое имя отправителя, список вложений и все технические находки. ИИ ищет несоответствия отображаемых имён, подделки брендов, схожие домены и противоречия между заявленными и реальными вложениями. Любое противоречие между телом письма и вложением автоматически классифицируется как Опасно. ИИ генерирует понятный текстовый ввод для начала полного отчёта, предназначенный для нетехнических пользователей. Если ИИ‑обзор не может быть завершён, но технические проверки уже дали результаты, показывается технический вывод с уведомлением о недоступности ИИ‑анализа. Если ИИ не может работать и технических находок нет, запрос завершается ошибкой вместо ложного вывода «Безопасно».

Прозрачные ограничения

• Отсутствие живой повторной проверки SPF, DKIM или DMARC через DNS.
• Документы с макросами помечаются, но их код не извлекается и не анализируется.
• Вложения никогда не исполняются, не открываются в песочнице и не сканируются антивирусом.
• Ссылки анализируются только как текст; они не открываются и не используют базу репутаций.