Czy otwieranie pliku MBOX jest bezpieczne?

Tak. Plik MBOX to zwykły tekst i sam z siebie nie potrafi niczego uruchomić; otwarcie go jest równie groźne jak otwarcie dokumentu tekstowego, czyli w ogóle. Ryzyko tkwi w tym, co plik zawiera, i w tym, co robi twój czytnik — w trzech konkretnych rzeczach, z których każdą da się opanować.

Ryzyko pierwsze: załączniki

Sam plik jest bezwładny, ale wiadomość w środku może nieść załącznik, który już nie. Naszpikowany makrami arkusz z 2012 roku jest dziś dokładnie tak samo szkodliwy jak wtedy, a stare archiwum to właśnie miejsce, w którym takie rzeczy leżą.

Dopóki siedzi w skrzynce, nic się nie dzieje. Załączniki są zapisane jako tekst w base64 — zdjęcie, faktura i złośliwe oprogramowanie to tak samo tylko znaki, dopóki coś ich nie zdekoduje i nie uruchomi. Moment ryzyka przychodzi wtedy, gdy zapisujesz taki plik na dysk i klikasz w niego dwa razy, a wtedy obowiązują zwykłe zasady: sprawdź, co to jest, traktuj programy wykonywalne i makra podejrzliwie, daj antywirusowi zajrzeć.

Czytanie wiadomości jest bezpieczne. Rozsądek zaczyna być potrzebny dopiero wtedy, gdy działasz na tym, co jest w środku.

Ryzyko drugie: zdalne obrazki

To jest subtelniejsze i dotyczy o wiele większej liczby osób, bo nabranie się nic nie kosztuje.

Wiele wiadomości HTML nie osadza swoich obrazków; podlinkowuje je. Otwierasz wiadomość, komputer pobiera te pliki z serwera, a samo zapytanie mówi nadawcy, że wiadomość została otwarta, mniej więcej kiedy i mniej więcej skąd. W archiwum jest to gorsze niż w żywej poczcie: otwierasz skrzynkę z 2015 roku i po cichu ogłaszasz kilkuset nadawcom, że adres, który spisali na straty, żyje i czyta.

Odpowiedzią nie jest unikanie własnej poczty. Odpowiedzią jest czytnik, który niczego nie pobiera, jeśli go o to nie poprosisz. Mbox Viewer domyślnie blokuje zdalne obrazki i oczyszcza HTML; nic nie ładuje się z internetu, dopóki sam nie zdecydujesz, przy wiadomości, którą już obejrzałeś i chcesz zobaczyć porządnie.

Ryzyko trzecie: sam czytnik

I tu jest to, o czym nikt nie mówi, a co jest największe.

Poszukaj sposobu na otwarcie pliku MBOX, a spora część wyników to strony internetowe: wyślij nam swoją skrzynkę, a pokażemy ci ją w przeglądarce. Przeczytaj tę ofertę jeszcze raz, pamiętając, co jest w środku. Eksport Gmaila to każda wiadomość, jaką dostałeś przez dwadzieścia lat — bank, lekarz, prawnik, resetowanie haseł, wszystko. Wysyłanie tego na nieznany serwer po to, żeby popatrzeć, nie jest rozsądnym interesem, a jeśli archiwum jest objęte wnioskiem o udostępnienie danych, zabezpieczeniem dowodów albo jakimkolwiek obowiązkiem ochrony danych, to interes, którego w ogóle nie wolno ci zawrzeć.

Programom na komputer należy zadać to samo pytanie, tylko inaczej sformułowane: czy dzwoni do domu, czy wymaga konta, co robi z raportem o awarii.

Odpowiedź Mbox Viewera brzmi: wszystko dzieje się lokalnie. Bez chmury, bez telemetrii, bez konta, bez serwera licencji. Wyciągnij kabel sieciowy, a program zachowa się identycznie — i to jedyna wersja takiej deklaracji, którą da się faktycznie sprawdzić, więc wolelibyśmy, żebyś sprawdził.

A czy twojemu plikowi grozi coś przy otwieraniu?

To inne pytanie i całkiem uczciwe: czy otwarcie archiwum może je uszkodzić?

Nie tutaj. Program działa ściśle w trybie tylko do odczytu — nigdy nie zapisuje do otwartej skrzynki. Nawet naprawa, która odtwarza uszkodzone granice wiadomości, zapisuje naprawioną kopię do nowego pliku i zostawia oryginał dokładnie takim, jakim go zastała. Tak samo działa eksport zaznaczenia jako nowej skrzynki MBOX: nowy plik na wyjściu, oryginał nietknięty.

Warto to sprawdzić w każdym narzędziu, którego używasz, bo „otwórz” znaczy różne rzeczy. Import kopiuje twoją pocztę do cudzej bazy danych. To nie jest to, co dzieje się, gdy czytnik otwiera plik.

Krótko

Plik jest bezpieczny. Uważaj na załączniki, które zapisujesz, używaj czytnika blokującego zdalne obrazki i nie wysyłaj dwudziestu lat swojej korespondencji na jakąś stronę tylko po to, żeby nie instalować programu.

---

Więcej o tym, co program robi z twoimi danymi, a czego nie robi, znajdziesz na stronie funkcji i w polityce prywatności.