bounce spam

Bounce spam to zjawisko, w którym niechciane wiadomości generują masowe zwroty obciążające infrastrukturę pocztową.

Na czym polega zjawisko bounce spamu

Bounce spam to masowe pojawianie się automatycznych wiadomości o niedostarczeniu poczty, mimo że osoba otrzymująca te komunikaty nie wysyłała wskazanych wiadomości. Termin odnosi się do sytuacji, w której spamerzy wykorzystują adres nadawcy należący do innej osoby albo nieistniejący adres z prawidłową domeną. Serwery pocztowe odbiorców próbują wtedy zwrócić wiadomość do adresu wpisanego w polu nadawcy koperty SMTP. Jeżeli wiadomość zostanie odrzucona, system generuje raport o błędzie, który trafia do niewłaściwego właściciela adresu.

Zjawisko jest blisko związane z tak zwanym backscatterem, czyli pocztowym „odpryskiem” niechcianej korespondencji. W typowym przypadku użytkownik nie jest rzeczywistym nadawcą spamu, lecz jego adres został użyty jako fałszywy adres zwrotny. Liczne raporty mogą wyglądać jak zwykłe komunikaty systemowe: zawierają informację o nieistniejącym odbiorcy, przepełnionej skrzynce, odrzuceniu przez filtr antyspamowy albo problemie z dostarczeniem wiadomości. Ich wspólną cechą jest brak związku z działaniem użytkownika.

Rola SMTP, adresu koperty i raportów niedostarczenia

Do zrozumienia bounce spamu trzeba rozróżnić adres widoczny w nagłówku wiadomości od adresu używanego przez serwer do obsługi zwrotów. Podczas transmisji SMTP serwer otrzymuje między innymi wartość polecenia MAIL FROM. Ten adres koperty, nazywany także adresem reverse-path, służy do kierowania komunikatów o błędach dostarczenia. Może różnić się od adresu znajdującego się w nagłówku From, który jest prezentowany odbiorcy w programie pocztowym.

Spamer może więc umieścić prawdziwy adres innej osoby w MAIL FROM, a następnie wysłać dużą liczbę wiadomości do losowych, błędnych lub nieaktywnych adresów. Serwery docelowe odrzucają część korespondencji i generują automatyczne odpowiedzi na wskazany reverse-path. W efekcie skrzynka właściciela sfałszowanego adresu zostaje zasypana raportami, chociaż jego urządzenie, konto pocztowe i klient pocztowy nie musiały zostać przejęte. Samo otrzymywanie takich zwrotów nie jest dowodem włamania.

Raport niedostarczenia może mieć postać wiadomości DSN, czyli Delivery Status Notification. Zwykle zawiera kod odpowiedzi SMTP, adres odbiorcy, opis przyczyny odrzucenia oraz fragment pierwotnej wiadomości lub jej nagłówków. Kody z klasy 5xx wskazują na trwałe odrzucenie, natomiast kody 4xx zazwyczaj oznaczają sytuację tymczasową, po której serwer nadawczy może ponowić próbę. Przy bounce spamie duża liczba takich komunikatów może obciążyć skrzynkę, utrudnić wyszukiwanie prawidłowej korespondencji i zwiększyć liczbę fałszywych alarmów.

Jak rozpoznać fałszywe zwroty i ocenić przyczynę

Analizę należy rozpocząć od pełnych nagłówków kilku przykładowych wiadomości, a nie wyłącznie od ich tematów. Warto sprawdzić pola Return-Path, From, To, Date, Message-ID, Received oraz Authentication-Results. Pole From może zostać łatwo sfałszowane i nie potwierdza źródła wysyłki. Łańcuch Received pokazuje kolejne serwery, które przekazywały wiadomość, natomiast Authentication-Results może informować o wyniku mechanizmów SPF, DKIM i DMARC, o ile serwer odbiorczy je zastosował.

Istotne jest porównanie czasu wystąpienia zwrotów z historią wysłanych wiadomości oraz z logami klienta pocztowego. Jeżeli w folderze „Wysłane” nie ma odpowiadających im wiadomości, a nagłówki wskazują obce serwery, bardziej prawdopodobne jest podszycie się pod adres niż przejęcie konta. Należy jednak osobno sprawdzić logowania, reguły przekazywania poczty, utworzone aplikacyjne hasła i aktywne sesje, ponieważ bounce spam oraz rzeczywiste przejęcie skrzynki mogą wystąpić niezależnie.

Nie każdy komunikat o niedostarczeniu jest bounce spamem. Czasami zwroty powstają po błędnej konfiguracji własnego programu, automatycznej odpowiedzi, listy mailingowej albo przekierowania. Podejrzany jest natomiast nagły, masowy napływ raportów dotyczących nieznanych odbiorców, rozmaitych domen i treści, których użytkownik nigdy nie przygotowywał. Warto zachować kilka oryginalnych wiadomości wraz z nagłówkami, ponieważ ich usunięcie może utrudnić ustalenie, czy problem wynika z fałszowania adresu, błędu konfiguracji, czy nieautoryzowanej wysyłki.

Ograniczanie skutków bounce spamu w skrzynce pocztowej

Najbezpieczniejszym działaniem jest odfiltrowanie powtarzalnych raportów na podstawie ich rzeczywistych cech, takich jak nadawca koperty, typ komunikatu DSN, kod błędu, identyfikator wiadomości lub charakterystyczne nagłówki. Nie należy automatycznie blokować całej poczty systemowej, ponieważ prawidłowe raporty o niedostarczeniu mogą być potrzebne przy rzeczywistej korespondencji. Reguła powinna obejmować tylko rozpoznany wzorzec i być okresowo sprawdzana na nowych przykładach.

Jeżeli analiza wskazuje na użycie adresu jako fałszywego nadawcy, zmiana hasła zwykle nie usuwa samego źródła problemu, ponieważ spamer nie musi mieć dostępu do skrzynki. Zmiana hasła jest uzasadniona wtedy, gdy występują także nieznane logowania, wiadomości wysłane z konta, obce przekierowania lub inne oznaki nieautoryzowanego dostępu. W takiej sytuacji trzeba usunąć nieznane reguły, wylogować aktywne sesje i ponownie skonfigurować uwierzytelnianie wieloskładnikowe, jeżeli jest dostępne.

Na komputerze użytkownika można sprawdzić, czy program pocztowy nie tworzy własnych automatycznych odpowiedzi, nie przenosi raportów do nieoczekiwanych folderów i nie synchronizuje uszkodzonego profilu. Diagnostyka powinna obejmować również stan dysku, działanie systemu, aktualność klienta pocztowego oraz obecność niepożądanego oprogramowania, ale sam bounce spam nie stanowi wystarczającego dowodu infekcji. W razie utrzymywania się problemu potrzebne są oryginalne nagłówki, informacje o używanym koncie i chronologia zdarzeń, aby oddzielić fałszowanie adresu od rzeczywistego wysyłania poczty z urządzenia lub skrzynki. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką programów pocztowych i konfiguracji na urządzeniu użytkownika.