W ostatnim czasie miałem okazję przekonać się, jak rozległy jest problem tak zwanego backscatteru, czyli automatycznego wysyłania odpowiedzi na domniemany adres nadawcy przez serwer lub program pocztowy. Przekonałem się po tym, jak osoba wynajęta przez ICIC zaczęła w odwecie za mój wpis nt. tej ukraińskiej firmy masowo wysyłać różne reklamy w językach rosyjskim i ukraińskim, podając mój adres e-mailowy jako adres nadawcy. Liczba zwrotów, jakie docierały na mój serwer, okresowo przekraczała kilka tysięcy na minutę (!). Łącznie, gdyby nie skuteczne filtry, orzymałbym najprawdopodobniej kilkaset tysięcy listów zwrotnych na e-maile, których nigdy nie wysłałem. A to wszystko przez producentów oprogramowania, administratorów i... nieświadomych użytkowników.

Wbrew pozorom, to co określa się terminem backscatter to nie tylko zwroty niedostarczonej poczty (czyli dobrze większości z nas znane wiadomości od MAILER-DAEMON-a). Dlatego też należałoby stworzyć jakiś polski termin opisujący całe to zjawisko. Pozwolę sobie więc nazwać je spamem zwrotnym, ponieważ jest równie niepożądane i szkodliwe, jak sam spam. Pokuszę się nawet o stwierdzenie, że o wiele bardziej szkodliwe od samego spamu.

Spam zwrotny to:
  • Zwroty niedostarczonej poczty. Wynikają one ze złej konfiguracji lub konstrukcji serwera pocztowego. Serwer powinien odpowiadać, iż adres e-mail nie istnieje, jeszcze zanim przyjmie list, a nie wysyłać taką informację dopiero po przyjęciu tego listu na domniemany (sfałszowany) adres nadawcy. W przeszłości przeprowadziłem test polskich serwerów pocztowych na okoliczność takiego nieprawidłowego działania. W tamtym wpisie problem jest opisany nieco szerzej, jednak dopiero ostatnie wydarzenia związane z ICIC uświadomiły mi jego powagę.
  • Zwroty od systemów antyspamowych, informujące iż wiadomość nie została dostarczona, ponieważ oceniono ją jako spam. Miałbym ochotę urwać pewną część ciała „specjalistom”, którzy napisali systemy antyspamowe z tak zaimplementowaną funkcją. Gdyby system zwracał odpowiedź na etapie połączenia (kopertowym), miałoby to sens (np. by poinformować nadawcę o błędnym zaklasyfikowaniu). Ale wysyłanie zwrotek na domniemany adres nadawcy to spamowanie samo w sobie. Co gorsza, podobne odpowiedzi wysyłają przede wszystkim systemy tak renomowanych firm jak np. Symantec, czyli „specjalistów od bezpieczeństwa sieciowego”. Przepraszam bardzo, ale po otrzymaniu ostatnio kilku tysięcy listów ze spamem zwrotnym z produktów tej firmy, żadnego ich systemu bym nie kupił ani nikomu nie polecił.
  • Prośby o potwierdzenie nadania listów z systemów wyzwanie odpowiedź (challenge-response). Wcześniej pisałem już, że właśnie z powodu niebezpieczeństwa wysyłania takiego spamu zwrotnego zrezygnowałem ze stosowania systemu TMDA. Teraz, na własnej skórze widzę, że była to dobra decyzja, albowiem mogłem przyczynić się do bombardowania niewinnych osób. Niestety, muszę więc poradzić wszystkim którzy używają tej metody ochronnej, by jak najszybciej z niej zrezygnowali, jeśli nie chcą by ich adres wylądował na różnorakich czarnych listach.
  • Wszelakiej maści autorespondery. Informacje typu:
    • „Nie ma mnie w biurze od ... do ...”,
    • „Ten adres jest już nieaktualny, bo dostawałem za dużo spamu, piszcie na inny...”,
    • „To jest potwierdzenie otrzymania Twojej wiadomości...”,
    • „Przyjęliśmy Państwa zgłoszenie. Bla bla bla, prosimy o kontakt tu i tam itp.”.
    Do przeciętnych użytkowników nie dociera, że autorespondery są złe i nie powinny być stosowane! Być może dotrze, kiedy przestaną móc wysyłać pocztę, bo ich serwery będą blokowane. Do mnie z kolei nie docierają wyjaśnienia typu „bo szef mi kazał używać”, „bo to standard korporacyjny”. Szefów też należy edukować. Jeśli Wasz szef każe Wam używać autorespondera, pokażcie mu ten wpis. Niech poczyta i niech uświadomi sobie, że wymuszanie na pracownikach korzystania z tego typu narzędzi będzie powodowało, iż firma będzie uznana za spamerów i komunikacja e-mailowa z wieloma podmiotami stanie się niemożliwa. O stratach finansowych dla firmy nie muszę już chyba wspominać.
  • Newslettery, które nie używają subskrypcji double opt-in, czyli do listy dystrybucyjnej dopisywany jest każdy, kto wyśle list pod dany adres (a adres nadawcy może być oczywiście sfałszowany). Zgłosiłem jeden z takich newsletterów do SpamCopa, po czym od administratorów otrzymałem informacje, że oni nie spamują. Wyjaśniłem im, co oznacza double opt-in. Od tego czasu się nie odezwali.
  • Automatyczne odpowiedzi od systemów list dyskusyjnych, informujące że mój e-mail nie został wysłany na listę. Choć takie informacje mogą przydawać się przy zapisywaniu na różnorakie listy, to również stanowią spam zwrotny. Jeśli system list dyskusyjnych nie przyjmuje e-maili od danego nadawcy na daną listę, powinien informować o tym albo na etapie kopertowym, albo po prostu list odrzucać bez informacji dla domniemanego nadawcy.
  • Prośby o potwierdzenie z różnych systemów korzystających z double opt-in. One stanowią największy problem, ponieważ z jednej strony są konieczne do zweryfikowania, czy nadawca naprawdę chce zapisać się na jakąś listę dyskusyjną lub dystrybucyjną, z drugiej zaś strony trudno je zrealizować na etapie kopertowym. Wynika to z faktu, że gdyby działały na etapie kopertowym, nadawca otrzymałby od swojego MAILER-DAEMON-a informacje o niedostarczeniu poczty, w której mógłby (ale nie musiałby) znaleźć się komunikat serwera listy (a który byłby jedynym miejscem, w jakim mógłby być zawarty np. link aktywacyjny). Informacja taka mogłaby być zaś nieczytelna (odbiorca mógłby myśleć, że list został po prostu odrzucony na dobre). Dlatego też tego typu spam zwrotny zwalczać jest trudno, a przez działania spamerów cała koncepcja list dyskusyjnych powoli rozsypuje się w drobny mak. Tak jak musieliśmy się przyzwyczaić do tego, że listów nie można wysyłać przez dowolny serwer, tak będziemy musieli przyzwyczaić się, że na listy dyskusyjne można będzie zapisać się tylko np. z poziomu stron WWW.
Problem spamu zwrotnego jest jak widać dość złożony, a walka z nim trudna. Na szczęście istnieją już czarne listy, które przechowują adresy serwerów z których przychodzi spam zwrotny. Niestety, stosując je bardziej niż zwykle narażamy się na to, iż wiele osób nie będzie mogło do nas napisać, ponieważ serwery te często należą do dużych i znanych instytucji...

Tomasz Andrzej Nidecki, 20.06 2006