Rizika přeposílání e-mailů: kontrola skrytých příloh, vláken a adres v CC/BCC

Proč je přeposílání e-mailů rizikové

Přeposílání e-mailů se může zdát neškodné – jednoduše přepošlete to, co jste obdrželi. V praxi však může dojít k neúmyslnému odhalení citlivých informací: skrytých příloh, historických vláken, interních poznámek či metadata o odesílateli a příjemcích. Moderní e-mailoví klienti navíc automaticky vkládají quoted text, inline obrázky a převzávají staré hlavičky, což komplikuje kontrolu nad tím, co skutečně odesíláte. Tento článek vysvětluje technické detaily (MIME struktura, quoting, inline obsah), rizikové scénáře a poskytuje přesný postup, jak přeposílat e-maily bez úniku dat.

Anatomie e-mailu: MIME, části a vlákna

• Hlavičky (headers): From/To/Cc/Bcc/Message-ID/In-Reply-To/References, datum, výsledky DKIM/SPF. Při forwardu mohou zůstat jako citace nebo se regenerují.
• Tělo zprávy: často ve formátu multipart/alternative (text + HTML). HTML verze může obsahovat hidden elementy (display:none), citace, podpisy a sledovací pixely.
• Přílohy: připojené jako části multipart/mixed (PDF, DOCX, ZIP) nebo multipart/related pro inline obsah (logo, obrázky v těle) referencované přes cid:.
• Vlákna: propojení zpráv pomocí In-Reply-To a References. Klient při forwardu často vloží celé dosavadní quoted vlákno (včetně starších citací, které jsou „jen sbalené“).

Skryté přílohy: co vše se „vozí“ s e-mailem

1. Inline obrázky s cid: referencemi: firemní loga, podpisové bannery, QR kódy; v některých klientech se při forwardu mění na běžné přílohy.
2. „Nevinné“ podpisy: podpisové systémy přidávají bannery jako přílohy. Mohou odhalit interní ID kampaní nebo sledovací tokeny v odkazech.
3. Kontejnerové přílohy: msg/eml (zpráva ve zprávě), winmail.dat (application/ms-tnef) z Outlooku; příjemce při otevření vidí původní metadata a historii.
4. Automatické přeposílání: filtry „forward all“ v poštovní schránce odesílají všechny přílohy včetně těch, které nikdy manuálně neotevřete.

Vlákna a citace: kde se ztrácí kontrola

Při forwardu klient obvykle vloží citaci původní zprávy (quoted-printable HTML). Tato citace může obsahovat:

• starší Reply-All části s e-maily všech účastníků,
• interní instrukce nebo „poznámky pod čarou“, které původní autor nepovažoval za veřejné,
• sbalené elementy (display:none), které jsou však viditelné při „Zobrazit zdroj“ nebo v jiném klientu,
• hyperlinky s tracker parametry (utm, klikací tokeny), které prozrazují interní kampaně či identity.

Metadata v přílohách: neviditelná, ale prozrazující

1. Office dokumenty (DOCX/XLSX/PPTX): autor, firma, cesta k souboru, historie revizí, komentáře, skryté listy či snímky.
2. PDF: XMP metadata, název aplikace, vložené přílohy, formulářová pole, neviditelné vrstvy; při „Export to PDF“ se mohou zachovat i poznámky.
3. Obrázky (JPEG/PNG): EXIF (GPS, čas, zařízení), náhledy, tagy obličejů v některých knihovnách.
4. Archivy (ZIP): názvy souborů a adresářů, časová razítka; při šifrování slabým algoritmem (ZIPCrypto) je prolomitelná.

Rizikové scénáře při přeposílání

„Forward“ vs. „Redirect/Resend“ vs. „Reply/Reply-All“

• Forward (FWD): vytvoří novou zprávu s citací původní; mění se From/To, původní odesílatel je pouze v těle. Největší riziko vložených historických dat.
• Redirect/Resend (Přeposlat jako přesměrování): zachová původní hlavičky a tělo bez citace; zpráva „vypadá“, jako by přišla přímo od originálu (transparentnost, ale pozor na reputaci a DKIM).
• Reply / Reply-All: odpověď nepřenáší přílohy původně určené původnímu adresátovi, ale může přidat citace předchozích konverzací. Při „Reply-All“ pozor na přeposílání interních adres.

Bezpečný postup: jak přeposlat e-mail bez úniku

1. Posuďte účel: Proč to posílám? Potřebuje příjemce originál, nebo stačí stručné shrnutí s vybranými přílohami?
2. Preferujte nové „Compose“: Napište nový e-mail s vlastním textem. Nevkládejte celé vlákno, ale uveďte klíčové body a relevantní fakta.
3. Přílohy přikládejte selektivně: Stáhněte originální přílohu, proveďte sanitaci (viz níže) a přiložte jen to potřebné.
4. Pokud musíte forwardovat: Odstraňte citovaný obsah (quoted) a podpisové bloky, v HTML režimu přepněte na Plain Text (pokud je to možné). Vymažte staré adresy v těle citace.
5. Zkontrolujte příjemce: Nepřehlédněte rozdíl mezi Cc a Bcc. Bcc chrání seznam adresátů před dalším šířením, ale snižuje transparentnost.
6. Vypněte automatické stahování externího obsahu: Zabráníte načtení sledovacích pixelů při otevírání citované zprávy.
7. Před odesláním otevřete „Zobrazit zdroj“: Zkontrolujte MIME části, zda se nepřidaly cid obrázky nebo vložené eml/msg.

Sanitace příloh: praktické techniky

• Office: „Inspect Document“ / „Check for Issues“ a odstranění Comments, Revisions, Document Properties, Hidden Text. Export do PDF/A bez příloh a komentářů.
• PDF: „Remove Hidden Information“ (Acrobat) nebo tisk na virtuální tiskárnu („Flatten“ vrstvy). Zakázat JavaScript v PDF.
• Obrázky: odstranit EXIF (např. „export without metadata“), použít redakční nástroj (nikoli překrytí, ale „burn-in“), zmenšit výřez na minimum.
• ZIP: pokud je nutné heslo, použijte AES-256 (nikoli ZIPCrypto). Heslo posílejte jiným kanálem.

Specifika populárních klientů

1. Gmail (web): Při „Forward“ vkládá celou citaci; inline obrázky mohou být přidány jako přílohy. V nastavení vypněte automatické načítání obrázků a před odesláním odstraňte nepotřebné části.
2. Outlook: Pozor na winmail.dat (TNEF). Nastavte odesílání jako „HTML/Plain“, nepoužívejte „Rich Text“. Funkce „Resend this message“ je vhodná, pokud nechcete přidat citaci.
3. Apple Mail: Při forwardu inline obrázky často mění na přílohy; používejte „Forward as Attachment“ jen pokud potřebujete zachovat originál pro audit.
4. Mobilní klienti: Minimalistické UI skrývá citaci v rozbalovacím elementu – rozbalte a ručně smažte citovaný obsah před odesláním.

Firemní prostředí: politiky a DLP

• Zákaz auto-forward mimo doménu: nejčastější cesta úniků. Povolit jen schválené journaling/archiving schránky.
• DLP pravidla: detekce rodných čísel, IBAN, klíčových slov; blokování forwardu s citlivým obsahem nebo vyžádání schválení.
• Šablony s varováním: do těla zprávy před odesláním vložit přehled pravidel: „Kontrolovali jste přílohy? Odstranili jste citace?“. Pomáhá snížit chybovost.
• Školení a simulace: cvičné scénáře pro rozpoznání, co už je příliš mnoho informací ve vlákně.

Právo a odpovědnost

V evropském prostředí je obsah e-mailů s osobními údaji chráněn podle GDPR. Neoprávněné sdílení (např. přeposlání vlákna s osobními údaji třetím osobám bez právního základu) může znamenat porušení povinností správce. Organizace musí vést záznamy o zpracovatelských činnostech, DPIA pro systematické odesílání citlivých dat a hlásit incidenty do 72 hodin, pokud došlo k porušení ochrany osobních údajů.

Incident response: když už něco „uniklo“

1. Okamžité kroky: odvolejte zprávu, pokud klient/tenant umožňuje (bez záruky). Informujte příjemce, aby zprávu nešířil a vymazal.
2. Forenzní stopa: zaznamenejte adresáty, čas, verzi příloh, hash souborů. Zkontrolujte logy (Message Trace).
3. Hlásení: pokud se jedná o osobní údaje, postupujte podle interního IRP a GDPR povinností.
4. Nápravná opatření: úprava šablon, pravidel DLP, doplnění kontrolních seznamů při odesílání.

Kontrolní seznam před „Odeslat“ (tl;dr)

• Potřebujete forward, nebo stačí nový e-mail s krátkým shrnutím?
• Odstranili jste celou citaci vlákna a nepotřebné podpisy?
• Zkontrolovali jste přílohy a provedli sanitaci (metadata, komentáře, EXIF)?
• Je seznam příjemců správný (Cc vs. Bcc) a minimalizovaný?
• Je vypnuto načítání externího obsahu a zkontrolovali jste „Zobrazit zdroj“?

Bezpečné přeposílání e-mailů je kombinací technické hygieny (MIME, metadata, sanitace příloh) a procesní disciplíny (účel, minimální rozsah, správní adresáti). Pokud si osvojíte postup „Compose → shrnutí → selektivní přílohy“ a doplníte jej o DLP pravidla a školení, výrazně snížíte riziko, že se s každým „FWD:“ odešle i kus vašeho soukromí či firemních tajemství.