O spamie pisze się dużo, zwykle ogólnie. My zamiast tego sprawdziliśmy, co faktycznie ląduje w naszych skrzynkach – a wynik jest znacznie bardziej jednoznaczny, niż się spodziewaliśmy.
Liczby
Przeanalizowaliśmy wszystkie wiadomości zapisane w systemie:
- 181 wiadomości łącznie
- 180 z nich z jednej domeny nadawcy
- 180 z nich z tym samym tematem
- Wszystkie 180 w jednym dniu, w ciągu pięciu godzin
- Dokładnie jedna wiadomość na adres – 181 adresów, 181 wiadomości
Jedynym wyjątkiem była prawdziwa wiadomość rozliczeniowa od usługodawcy, wysłana omyłkowo na jeden z naszych adresów.
Co to oznacza
Wzorzec jest podręcznikowy. Żaden człowiek nie napisze 180 wiadomości w pięć godzin do 180 różnych odbiorców z identycznym tematem. To był skrypt przerabiający listę.
Wymowny jest stosunek dokładnie 1,00 wiadomości na adres. Kto zgaduje adresy losowo, trafia w ten sam wielokrotnie albo wcale. Kto przerabia listę, trafia w każdy dokładnie raz. Nadawca nie zgadywał. Miał nazwy.
Naprawdę niepokojąca część
Sprawdziliśmy, kiedy trafione adresy zostały u nas założone:
Około 85 procent adresów pochodzi z lat 2014–2016. Przerabiana lista ma więc ponad dziesięć lat.
To jest właściwa lekcja. Adres e-mail, który raz był publiczny, zostaje na listach. Nie wygasa – jest przekazywany, sprzedawany i używany ponownie po latach. Ludzie stojący za adresami z 2014 roku dawno o nich zapomnieli. Listy nie.
Skąd bierze się taka lista?
Nie potrafimy udowodnić, skąd pochodzi akurat ta. Najbardziej prozaiczne wyjaśnienie jest zarazem najbardziej prawdopodobne: nasze adresy przez lata były dostępne przez publicznie osiągalne strony – stronę przeglądową i odnośniki w widoku skrzynki, za którymi mogły podążać wyszukiwarki i inne programy. To już zamknęliśmy: adresy skrzynek nigdzie nie pojawiają się publicznie i są zablokowane dla wyszukiwarek.
Ogólne drogi, którymi adresy trafiają na listy, są znane:
- publikacja na stronach, forach albo w danych kontaktowych
- wyciek danych u dostawcy, u którego byliśmy zarejestrowani
- handel adresami
- zwykłe zgadywanie – krótkie nazwy jak
infoczytestistnieją prawie wszędzie
Jaka była treść
Te 180 identycznych wiadomości to próba phishingu z tematem mówiącym, że domena wkrótce wygaśnie i trzeba ją przedłużyć. To jedna z najstarszych sztuczek: buduje presję czasu, celuje w osoby faktycznie posiadające domeny i na pierwszy rzut oka wygląda na rutynę administracyjną.
Jak rozpoznawać takie wiadomości, opisujemy w osobnym wpisie.
Co możesz z tego wynieść
- Adres raz opublikowany jest spalony na stałe. Nie na rok – bezterminowo.
- Używaj osobnego adresu do każdej rejestracji. Wtedy zobaczysz, który dostawca przekazał Twoje dane, i wyłączysz właśnie ten kanał.
- Krótkie, oczywiste nazwy to najgorszy wybór. Są na każdej liście do zgadywania.
- Presja czasu w wiadomości to sygnał ostrzegawczy, a nie powód do pośpiechu.
Uwaga metodyczna
Analiza pochodzi z naszej bazy i obejmuje wyłącznie metadane: znacznik czasu, domenę nadawcy, temat oraz datę założenia adresu docelowego. Nie czytaliśmy w tym celu treści pojedynczych wiadomości i nie podajemy żadnych adresów. Wszystkie wiadomości zostały już usunięte – poczta przychodząca jest u nas kasowana automatycznie najpóźniej po siedmiu dniach.