Om jag sa till dig att varje gång du öppnar ett mejl kanske någon antecknar vad du gör , skulle du förmodligen tro att jag överdrev. Men nej: en stor del av de marknadsföringsmejl du får innehåller en liten digital spion, en osynlig spårningspixel, som avslöjar när du öppnade meddelandet, från vilken enhet, hur många gånger och till och med varifrån du anslöt.
Denna typ av spårning har blivit en form av vardaglig, tyst och utbredd övervakning . Stora plattformar, reklamföretag, e-postmarknadsföringsverktyg och till och med cyberbrottslingar använder dessa pixlar för att samla in data på din bekostnad. Den goda nyheten är att du inte har råd: med några få justeringar av dina e-postinställningar, användning av DNS-filter och några ytterligare verktyg kan du drastiskt minska vad tredje part vet om dig.
Vad är spårningspixlar och hur fungerar de egentligen?
Så kallade spårningspixlar, spionpixlar eller webbfyrar är små bilder inbäddade i e-postmeddelanden, webbplatser eller appar , vanligtvis 1x1 pixel (eller till och med 0x0). De är så små och vanligtvis transparenta att de i praktiken är osynliga för användaren.
När du öppnar ett HTML-e-postmeddelande och din e-postklient laddar fjärrbilder skickar programmet en begäran till servern där pixeln finns . Denna enkla begäran gör att servern kan registrera en hel del information: datum och tid för öppning, IP-adress, operativsystem, typ av webbläsare eller e-postklient och sidan eller meddelandet från vilket bilden hämtades.
Inom marknadsföring används ofta en kod liknande <img src="https://example.com/pixel/user123.png" width="1" height="1" /> . Denna URL är unik för varje mottagare, så det är känt inte bara att ett e-postmeddelande har öppnats, utan också exakt vilken adress som öppnade det, hur många gånger och från vilken miljö.
Något liknande händer på webben, men ofta används inbäddad JavaScript istället för en bild som kör spårningskod . Resultatet är detsamma: de kan spåra din surfväg, hur länge du spenderar på en sida, vilka avsnitt du besöker och hur du interagerar med innehållet.
All denna spårning är integrerad i en enorm digital övervakningsekonomi : informationen används för att anpassa annonser, analysera kampanjer, testa design, optimera säljtrattar, bygga användarprofiler och delas eller säljs i många fall till tredje part som specialiserar sig på data.
Vilken data kan dessa spårare samla in, och varför är det ett problem?
Spårningspixlar är inte begränsade till en enkel räkning av "öppnade/oöppnade e-postmeddelanden". I praktiken kan de skapa en ganska detaljerad karta över ditt beteende . Bland den vanligaste informationen de samlar in är:
- Oavsett om du öppnade mejlet eller inte och hur många gånger har du öppnat den igen.
- Exakt datum och tid av varje öppning, upp till den andra.
- IP-adress och ungefärlig plats (ibland mycket exakt, ner på stads- eller stadsdelsnivå).
- Enhet, operativsystem och e-postklient som du använder (Gmail, Outlook, Apple Mail, etc.).
- Skärmupplösning och vissa tekniska parametrar som hjälper till att skapa ett "digitalt fingeravtryck" av enheten.
- I många fall länkar i e-postmeddelandet med spårningsparametrar (UTM och andra), som länkar dina klick till specifika kampanjer.
När du klickar på en länk i ett spårat e-postmeddelande går du ofta inte direkt till destinationswebbplatsen : först går du via en mellanliggande server som registrerar ditt klick, sparar din e-postadress som är kopplad till länken och först sedan omdirigerar dig till den slutliga webbplatsen. Allt detta sker så snabbt att du inte ens märker det, men det lämnar ett spår.
Problemet är att genom att kombinera pixlar, spårningslänkar, cookies och webbläsarfingeravtryck kan din e-postadress kopplas till din webbhistorik, dina intressen och dina köp . Akademiska studier har visat att en stor majoritet av kommersiella nyhetsbrev innehåller olika spårningsverktyg som skickar data till ett flertal mellanhänder, inte bara den ursprungliga avsändaren.
Denna information används för att skapa mycket detaljerade profiler av ditt beteende online och offline : från om du brukar kolla e-post på kvällen till om du besöker webbplatser relaterade till investeringar, hälsa, konsumentbeteende, politisk ideologi eller mycket specifika hobbyer. Och allt detta, nästan alltid, utan att någon tydligt förklarar det för dig eller ber om ditt genuina samtycke.
Dessutom har vissa e-postmarknadsföringsleverantörer och automatiseringsplattformar drabbats av omfattande dataintrång . När listor som innehåller interaktionshistorik läcker ut kan angripare använda den informationen för att lansera mycket mer trovärdiga nätfiskekampanjer, riktade efter intressen eller användartyp.
Den mörka sidan: hur cyberbrottslingar använder dessa pixlar
Det är inte bara legitima företag som har sett potentialen hos dessa pixlar. Cyberbrottslingar använder dem som ett verktyg för att förbereda sina attacker innan de startar riktade nätfiskekampanjer eller komprometterar företagets e-post.
En angripare kan till exempel skicka ett till synes oskyldigt e-postmeddelande som innehåller en spionpixel . Så fort du öppnar det vet de att din e-postadress är giltig, att du läser e-postmeddelandet, vilken del av världen du befinner dig i och ungefär vilka tider du vanligtvis är online.
Med den informationen är nästa steg att förbereda ett mycket mer trovärdigt nätfiskemejl och skicka det under den tidsram då du vanligtvis är aktiv , vilket ökar sannolikheten att du faller för det. Om de också länkar den informationen till tidigare läckor (till exempel listor över kryptovalutakunder, specifika banker etc.) kan bedrägeriet vara extremt välriktat.
Användningen av pixlar för doxxing och aggressiv profilering har också dokumenterats : genom att jämföra din ungefärliga IP-adress med offentlig data (sociala medier, registreringar, forum) kan de försöka identifiera din hemadress eller arbetsplats. Detta blir särskilt oroande när vi pratar om aktivister, journalister eller högprofilerade individer.
I företagsmiljöer har vissa arbetsgivare använt webbfyrar för att övervaka vilka anställda som öppnar interna e-postmeddelanden, när och varifrån , utan att de anställda är helt medvetna om vilken övervakningsnivå de utsätts för. Utöver de juridiska konsekvenserna är detta en allvarlig fråga om förtroende och arbetsklimat.
För att göra saken värre, när en e-postmarknadsföringsleverantör drabbas av ett dataintrång , exponeras inte bara e-postadresser, utan ofta även beteendedata: vem interagerar mycket, vem knappt alls, vilka ämnen som genererar intresse, etc. Allt detta underlättar mycket personliga kampanjer av brottslingar.
Vilken roll spelar lagar och förordningar i e-postspårning?
Ur juridisk synvinkel är användningen av spårningspixlar känslig mark. I Europa är GDPR (Allmänna dataskyddsförordningen) ganska tydlig : all behandling av personuppgifter, inklusive spårning av öppningar och klick, kräver en solid rättslig grund, vanligtvis uttryckligt samtycke.
Europeiska dataskyddsmyndigheter har starkt motsatt sig denna typ av "tyst" spårning eftersom den lagrar och skickar information om mottagarens beteende utan deras uttryckliga vetskap. För att följa GDPR bör företag som använder pixlar i teorin:
- Förklara transparent vilka uppgifter som samlas in och för vilket ändamål.
- Inhämta informerat, specifikt och otvetydigt samtycke innan spårning aktiveras.
- Tillåt användaren återkalla det samtycket lika enkelt med vilket han beviljade det.
- Dokumentera och kunna bevisa att alla dessa krav har uppfyllts.
I praktiken uppfyller många e-postmarknadsföringskampanjer inte denna strikta standard och inkluderar helt enkelt generiska omnämnanden i integritetspolicyn eller användarvillkoren, vilket inte är tillräckligt enligt den mest krävande tolkningen av GDPR.
I USA är situationen annorlunda: CAN-SPAM Act förbjuder inte uttryckligen användningen av pixlar , men den fastställer skyldigheter för kommersiella e-postmeddelanden (avsändaridentifiering, tydlig avregistreringsmöjlighet, sanningsenlig information etc.). Den kräver inte uttryckligt samtycke för spårning i sig, vilket gör användarna mindre skyddade mot dessa metoder.
Andra länder (Kanada, Australien och vissa amerikanska delstater) skärper också sina integritetslagar , så det verkar troligt att hemlig e-postspårning kommer att möta ökande juridiska restriktioner, åtminstone i teorin. Under tiden beror ditt skydd främst på dina egna inställningar.
Det är värt att komma ihåg att spårningspixlar inte är olagliga i sig . Många företag använder dem för att mäta effektiviteten av en kampanj totalt sett. Det stora problemet är bristen på transparens: det anges nästan aldrig tydligt att de finns där, och det finns inte heller ett enkelt sätt att inaktivera dem.
Hur DNS-filter blockerar spårning och varför de är så kraftfulla
En av de mest effektiva metoderna för att stänga av många spårare, inklusive e-postspårare, är att använda DNS-filter som blockerar kända spårningsdomäner . Istället för att bara agera i webbläsaren eller e-postklienten attackerar du problemet på domännamnslösningsnivå.
DNS är det system som översätter domännamn (till exempel example.com) till IP-adresser som enheter förstår. Varje gång din e-post försöker ladda en fjärrbild, eller din webbläsare hittar en spårningsdomän, görs en DNS-fråga.
Om du använder en DNS-tjänst eller server som implementerar blockeringsfilter, kommer svaret att vara "existerar inte" eller så omdirigeras den till en null-IP-adress när din e-postklient begär att hitta domänen för en spårningspixel. Resultatet blir att pixeln aldrig laddas, begäran når inte spårarens server och därför öppnas inte e-postmeddelandet.
Den här metoden har en stor fördel: den fungerar på alla enheter och appar som använder den DNS:en . Om du konfigurerar den på din router kommer den att påverka dina mobiltelefoner, surfplattor, bärbara datorer, smarta TV-apparater och naturligtvis dina e-postklienter och webbläsare. Det är ett mycket effektivt "hygienlager".
Många säkra DNS-tjänster och vissa VPN-tjänster inkluderar redan specifika blocklistor för reklam, webbspårare, skadlig kod och domäner för e-postspårning . Att aktivera dessa minskar din sårbarhet avsevärt, även om inget filter är 100 % perfekt och nya domäner kommer alltid att dyka upp.
Nyckeln är att kombinera dessa DNS-filter med andra åtgärder på e-postklient-, webbläsar- och beteendenivå . Ju fler lager du lägger till, desto svårare blir det för en pixel eller ett skript att smyga in och skicka data om dig.
Blockera spårningspixlar i e-post: viktiga grundinställningar
Utöver DNS-filter finns det ett antal mycket enkla inställningar som du definitivt bör aktivera i dina e-postklienter för att göra det mycket svårt för spårare.
1. Inaktivera automatisk uppladdning av fjärrbilder
Detta är förmodligen det mest effektiva steget av alla. Eftersom de flesta pixlar fungerar som fjärrbilder som laddas från en extern server , stoppas spårningen vid roten om den automatiska uppladdningen blockeras.
I Gmail (webbversionen) kan du gå till Inställningar → Allmänt → Bilder och välja alternativet "Fråga innan externa bilder visas". På så sätt kommer e-postmeddelanden som standard att anlända utan att bilder laddas och de visas bara när du godkänner det.
På Outlook.com hittar du ett liknande alternativ under Inställningar → Allmänt → Bilder , där du kan justera hur externa bilder laddas upp. I Outlook-skrivbordsprogrammen kan du också blockera automatiska bildnedladdningar av sekretess- och säkerhetsskäl.
I Apple Mail, både på iPhone och iPad samt Mac, har du möjlighet att inaktivera fjärrinläsning av innehåll från Mail-inställningarna. Apple har också gått ett steg längre med Mail Privacy Protection, som förladdar bilder via sina egna servrar för att dölja din IP-adress och kringgå traditionella öppningsfrekvenser.
Nackdelen är uppenbar: vissa e-postmeddelanden kommer att se ganska kala ut, utan banners eller grafik, tills du väljer att ladda upp bilder. Men när det gäller integritet är fördelen enorm.
2. Använd integritetsfokuserade e-postleverantörer
Om du är allvarligt orolig över detta, överväg att använda en e-posttjänst som blockerar spårningspixlar och rensar spårningslänkar som standard . Proton Mail är en av de ledande leverantörerna inom detta område.
Proton Mail har förbättrat spårningsskydd som gör flera saker samtidigt: det tar bort kända spionpixlar när e-posten tas emot, förladdar andra bilder via en proxy med en generisk IP-adress (så att din verkliga plats inte avslöjas) och rensar länkar för att ta bort UTM-parametrar och andra spårningsidentifierare.
Dessutom cachar den bilder under en viss tid för att göra efterföljande åtkomst snabbare och undvika att nya förfrågningar skickas till avsändarens server. Användaren ser en sköldikon med ett nummer som anger hur många spårare och spårningslänkar som har blockerats eller tagits bort från det meddelandet.
Andra leverantörer som Tutanota och StartMail fokuserar också aggressivt på att minska spårning och erbjuda end-to-end-kryptering . De är vanligtvis belägna i länder med starka integritetslagar, vilket ger en intressant juridisk nivå.
Fördelen med den här typen av tjänster är att de, utan att du behöver justera för många inställningar, blockerar ett stort antal spårare som standard . Och som en bonus inkluderar de vanligtvis kraftfulla skräppostfilter och strikta policyer mot försäljning.
3. Installera webbläsartillägg som blockerar e-postspårning
Om du kollar din e-post från en webbläsare (Gmail, Outlook Web, etc.) kan du använda integritetsfokuserade tillägg som upptäcker och blockerar spårningsförsök i meddelanden.
Det finns specifika e-posttillägg, som Email Privacy Protector, Ugly Email, PixelBlock och Trocker , som visar en ikon när de upptäcker spionprogramspixlar och blockerar deras körning. Vissa berättar till och med hur många spårare som var inbäddade och vilka tjänster de kom från.
Du kan också använda mer generella blockerare som uBlock Origin med aktiverade spårningslistor , vilka blockerar många förfrågningar till annons- och spårningsdomäner. Även om de inte är specifikt utformade för e-post, hjälper de till att minska brus.
Det är dock klokt att vara försiktig: alla tillägg som du vill "röra" din e-post kommer att ha mycket bred åtkomst till dess innehåll . Se till att du bara installerar tillägg från officiella källor (Chrome Web Store, Firefox Recommended Catalog, etc.) och med ett gott rykte.
Tänk på att skyddet som erbjuds av dessa tillägg vanligtvis är begränsat till den specifika webbläsaren där de är installerade . Om du läser din e-post från en mobilapp eller en annan webbläsare går effekten förlorad, vilket är anledningen till att DNS-filter och e-postklientinställningar fortfarande är avgörande.
4. E-postalias och engångsadresser för att avgränsa din identitet
En annan mycket användbar taktik är att använda alias och tillfälliga e-postadresser för allt som luktar aggressiv marknadsföring, snabba registreringar eller webbplatser med tvivelaktig trovärdighet.
Tjänster som SimpleLogin, ProtonPass eller AnonAddy låter dig skapa slumpmässiga e-postadresser som omdirigerar till din riktiga inkorg. På så sätt, om en av dessa adresser börjar ta emot skräppost eller överdrivet många nyhetsbrev, vet du var problemet kommer ifrån och kan "avsluta" aliaset utan att röra ditt huvudkonto.
Detta minskar inte bara röran i din inkorg, utan begränsar också risken för att din primära e-postadress hamnar på tredjepartslistor eller i dataintrång. Om ett alias komprometteras inaktiverar du det och det försvinner automatiskt från ekvationen.
Många användare väljer att behålla en "ren" primär adress för betrodda personliga och professionella ärenden , och sedan flera alias eller sekundära e-postadresser för butikskonton, prenumerationer, gratis provperioder och liknande.
Om du kombinerar den här strategin med DNS-filter och bildblockering minskar chanserna att bli spårad i massor avsevärt , även om du fortfarande prenumererar på vissa nyhetsbrev som intresserar dig.
DNS-filter på systemet och routern: skydda hela ditt nätverk mot webbfyrar.
Om du vill gå ett steg längre och skydda inte bara din e-post, utan all aktivitet i ditt hem eller kontor , är det värt att konfigurera en filtrerande DNS på dina enheter eller direkt på din router.
På operativsystemnivå kan du manuellt ändra DNS-servern i Windows, macOS, Android eller iOS så att den pekar på en leverantör som erbjuder spårningsblockering . Många säkerhetstjänster och vissa VPN-tjänster inkluderar redan specifika profiler som blockerar domäner som är kopplade till reklam, spårning och skadlig kod.
När du flyttar samma inställning till routern blir det extra intressant: alla enheter som är anslutna till ditt lokala nätverk kommer att ärva den konfigurationen . Det betyder att om en smart-TV, mobilapp eller e-postklient försöker ladda upp bilder eller kontakta spårningsservrar, kommer DNS att returnera ett blockerat svar.
Denna systematiska metod eliminerar behovet av att installera tillägg eller specifika appar på varje enhet individuellt. Den arbetar tyst i bakgrunden och skyddar även de som delar ditt nätverk och kanske inte är lika noggranna med vad de öppnar eller konfigurerar.
Det är dock viktigt att komma ihåg att DNS-filter inte skiljer mellan en legitim logotyp och en spionpixel : de förlitar sig på domänlistor. Om en avsändare har sina pixlar på samma domän som andra legitima resurser kan viss spårning slinka igenom. Det är därför det är så viktigt att kombinera detta med att blockera fjärrbilder i e-post.
I vissa fall kan ett bra VPN med en inbyggd spårningsblockerare vara ett bekvämt alternativ, särskilt om du ofta ansluter från offentliga eller opålitliga nätverk . VPN:t krypterar din trafik, döljer din IP-adress och, om det inkluderar en blockeringslista, blockerar många spårningsförfrågningar, inklusive vissa e-postpixlar.
Fler försvarsåtgärder: vanlig text, bästa praxis och sunt förnuft
Om någon behöver maximal integritet finns det alltid det radikala alternativet att läsa och skicka e-postmeddelanden uteslutande i vanlig text , vilket helt inaktiverar HTML och bilder. Det är obekvämt och visuellt oattraktivt, visserligen, men det eliminerar den stora majoriteten av spårningsvektorer på ett slag.
För oss andra är en mer realistisk strategi att anamma en kombination av god praxis och viss vaksamhet . Undvik till exempel att öppna e-postmeddelanden från okända eller uppenbart misstänkta avsändare, klicka inte på konstiga länkar och var försiktig med meddelanden som ber om personlig information eller påstår sig vara oberättigad brådska.
Många e-postklienter låter dig förhandsgranska meddelanden säkert utan att ladda innehåll från andra . Om något verkar misstänkt är det bäst att markera det som skräppost eller radera det helt. Det är också bra att då och då granska vilka nyhetsbrev du prenumererar på och avsluta prenumerationen på allt som inte längre gynnar dig.
Vare sig hemma eller på kontoret är det viktigt att alla är åtminstone något medvetna om problemet . Att blockera pixlar och länkar är meningslöst om någon sedan delar din enhet eller ditt konto och öppnar och vidarebefordrar vad de vill. En kort informationssession kan förhindra många obehagliga överraskningar.
Och naturligtvis, när vi pratar om spårning här, glöm inte de andra pelarna i e-postsäkerhet: starka lösenord, tvåstegsautentisering, säkerhetskopior och, om möjligt, end-to-end-kryptering för känsligt innehåll.
I slutändan handlar det om att återta något vi aldrig borde ha förlorat: känslan av att din inkorg inte är en skyltfönster där halva internet kan anteckna varje steg du rör dig. Med korrekt konfigurerade DNS- filter , blockering av fjärrinnehåll, användning av integritetsvänliga tjänster och antagande av fyra enkla vanor kan du läsa dina e-postmeddelanden igen med relativ sinnesro, i vetskapen om att du åtminstone inte längre överlämnar hela ditt digitala liv till varje osynlig pixel som korsar din väg.