امنیت ایمیل دیگه مسئلهٔ فیلترکردن محتوا نیست
هوش مصنوعیخلاصهٔ کامل‌تر
تز مرکزی این گزارش (نوشتهٔ آنا پرونه در SACR) اینه که ایمیل هنوز ارزون‌ترین و پربازده‌ترین راه ورود به سازمانه، و سه دهه دفاع لایه‌ای این بردار رو باریک نکرده — فقط بالاتر برده. دعوای امروز سر پیوست مخرب پشت دروازه نیست؛ سر اعتماد، هویت و قضاوت انسان داخل صندوق ورودیه. به گفتهٔ نویسنده‌ها امنیت ایمیل تو ۲۰۲۶ رو باید یه مسئلهٔ گراف هویت با شواهد قابل‌ممیزی دید، نه مسئلهٔ فیلتر محتوا با یه نرخ تشخیص جذاب روی صفحهٔ تبلیغاتی.
دلیلش رفتار مهاجمه. حمله‌های پرخسارت امروز — BEC (به‌خطرافتادن ایمیل کسب‌وکار)، VEC (نسخهٔ فروشنده/تأمین‌کننده‌اش) و تصاحب حساب — اغلب هیچ نشونهٔ سنتی ندارن: نه بدافزاری، نه لینک مشکوکی، نه دامنهٔ بدنامی. سیگنال واقعی تو رابطه‌ها، زمان‌بندی، خودِ درخواست و انحراف از فرایند عادی کسب‌وکاره. VEC از این هم سخت‌تره، چون فرستنده و دامنه و تاریخچه همه واقعی‌ان و SPF و DKIM و DMARC هم پاس می‌شن؛ تنها ناهنجاری ممکنه تغییر شمارهٔ حساب تو یه فاکتور باشه.
دو تغییر دیگه هم تصویر رو عوض کردن. اول فیشینگ از دل سرویس‌های معتبر: مهاجم‌ها محتوا رو روی Microsoft 365، Google Workspace، Dropbox، DocuSign، Notion، Figma و امثالش میزبانی می‌کنن، پس زیرساخت مشروعه و سوءاستفاده داخل ورک‌فلو اتفاق می‌افته — چیزی که فیدهای اعتبار دامنه و بازنویسی URL به‌تنهایی نمی‌گیرن. دوم مهندسی اجتماعی تولیدشده با AI، که هزینهٔ ساخت پیام‌های شخصی‌سازی‌شده و بی‌غلط رو تقریباً صفر کرده و تطبیق قالب رو بی‌فایده می‌کنه.
بخش مهم دیگه، جاییه که حمله از ایمیل به هویت سر می‌خوره: فیشینگ رضایت OAuth، دزدی سشن بعد از MFA، خستگی MFA و مهندسی اجتماعی روی هلپ‌دسک. ایمیل شروع‌کنندهٔ ماجراست ولی ریسک سریع می‌ره تو Entra ID، گرنت‌های OAuth، توکن سشن، قوانین صندوق و اپ‌های SaaS. به همین خاطر معیار خرید عوض شده: پلتفرم فقط با «چقدر پیام مسدود کردی» سنجیده نمی‌شه، با اینکه چقدر تو مهار ATO، پاک‌کردن قوانین مخرب صندوق و باطل‌کردن گرنت‌های OAuth کمک می‌کنه هم سنجیده میشه.
گزارش تاریخ بازار رو سه دوره‌ای می‌بینه. دوران پیرامون: گیت‌وی امن ایمیل (SEG) که سر مسیر می‌نشست و قبل از تحویل، محتوا و زیرساخت رو بازرسی می‌کرد — و هنوز هم برای آرشیو، رمزنگاری، eDiscovery و DLP خروجی تو صنایع تنظیم‌شده لازمه. دوران ابر و هویت: پلتفرم‌های ICES که با API نصب می‌شن، مکاتبات داخلی و رفتار پس از تحویل رو می‌بینن و خط پایهٔ رفتاری می‌سازن — عالی برای BEC و ATO، ولی با ضعف‌هایی مثل تحویل‌شدن پیام قبل از صدور حکم و DLP خروجی نازک‌تر.
دوران تحقیق همین حالاست: چون مهاجم‌ها از زیرساخت معتبر، کد QR، محتوای تصویری و ریدایرکت پویا استفاده می‌کنن، سؤال خریدار از «آیا این پیام مخرب بود؟» به «چرا این‌طور تشخیص داده شد؟» تغییر کرده. جواب‌دادن به این سؤال یعنی بستهٔ شواهد: رشتهٔ دلیل، سهم هر سیگنال، اسکرین‌شات، بازسازی زنجیرهٔ ریدایرکت، نتیجهٔ منفجرکردن URL و تحلیل شعاع اثر. کنارش هم معماری‌های ایجنتیک رشد کردن که با LLM و ایجنت‌های تخصصی، تحقیق و پاسخ رو خودکار می‌کنن — و سؤال بازشون حاکمیته: چقدر اختیار حاضرین به سیستم خودکار بدین؟
نتیجه‌گیری گزارش برای CISOها اینه که هیچ معماری واحدی برنده نمی‌شه. سازمان تنظیم‌شده هنوز SEG لازم داره، شرکت ابری‌محور دنبال ICES می‌ره، تیمی که با فیشینگ روی زیرساخت معتبر درگیره به رویکرد تحقیق‌محور نیاز داره و تیم کم‌نفر سراغ اتوماسیون ایجنتیک می‌ره. مهم‌تر از اون، پاسخ داره از تشخیص مهم‌تر میشه: میانگین زمان رفع، کاهش شعاع اثر، ساعت‌های صرفه‌جویی‌شدهٔ SOC و زمان مهار ATO معیارهای مفیدتری از نرخ خام تشخیصن. و چون حمله از Slack و Teams و WhatsApp و پورتال تأمین‌کننده هم می‌گذره، آیندهٔ این حوزه «امنیت ارتباطات» ه، نه امنیت یک کانال.
نکات کلیدی:
- BEC، VEC و ATO اغلب بدون بدافزار و لینک مخربن؛ سیگنال تو رابطه و رفتار و زمینه‌ست
- فیشینگ روی سرویس‌های معتبر، اعتبار دامنه و بازنویسی URL رو بی‌اثر می‌کنه
- ایمیل و هویت دارن یکی می‌شن: OAuth، توکن سشن، قوانین صندوق و هلپ‌دسک
- توضیح‌پذیری و بستهٔ شواهد داره به شرط خرید تبدیل میشه (برای بورد، ممیز، بیمه‌گر)
- هیچ معماری واحدی برنده نیست: SEG، ICES، تحقیق‌محور و ایجنتیک کنار هم می‌مونن
- معیار جدید موفقیت: سرعت و عمق پاسخ، نه نرخ خام تشخیص
