Liberiamoci dallo Spam!

L'elevata visibilità a livello mondiale resa possibile dalla posta elettronica ha un rovescio della medaglia i cui effetti sono visibili a chiunque abbia usato questo servizio almeno una volta: il suo nome è SPAM, Junk Mail (posta spazzatura), UCE (Unsolicited Commercial Email) o più semplicemente posta indesiderata. Si manifesta sotto forma di messaggi ricorrenti, non richiesti esplicitamente, di carattere principalmente commerciale e inviati contemporaneamente a migliaia di destinatari.

Il fenomeno è oramai un flagello a livello mondiale non solo perché infastidisce l'utente finale che deve spendere il proprio tempo a separare i messaggi utili da quelli indesiderati ma soprattutto perché si rivela essere un vero e proprio furto di risorse.

Lo spamming è estremamente remunerativo come mezzo pubblicitario grazie al costo di gestione irrisorio. Si è calcolato che è sufficiente che un solo utente su qualche migliaio acquisti il prodotto reclamizzato perché la bilancia dello spammer risulti in attivo. Il motivo di questo successo sta essenzialmente nella scarsità di risorse necessarie per mettere in opera questa attività e l'utilizzo illegale di servizi presenti sulla rete.

In passato l'opera dello spammer è stata paragonata a quella del volantinaggio che spesso contribuisce a riempire le nostre buchette delle lettere. La differenza è in realtà enorme.
Nel caso della campagna pubblicitaria basata su volantini la società promotrice si accolla l'intero onere della stampa e della distribuzione.
Nel caso dello spam il costo della distribuzione ricade quasi interamente sul destinatario, sul suo provider e sugli eventuali server di posta usati per l'inoltro.

Come agisce lo spammer

Cerchiamo di capire quali sono le fasi principali che portano gli spammer a inondarci di posta indesiderata.

Il primo passo consiste nel creare un database di possibili vittime. Per fare questo vengono utilizzati programmi chiamati spider, simili a quelli usati dai motori di ricerca, il cui unico scopo è setacciare la rete alla ricerca di indirizzi email presenti su pagine web, forum, guestbook e newsgroup. Come è facilmente intuibile la ricerca non può che dare ottimi frutti, in poco tempo è possibile accumulare milioni di potenziali destinatari.

Altro metodo usato per ottenere una lista di indirizzi è la generazione automatica. Una volta individuato un nome di dominio appartenente ad un grosso provider ricco di clienti, si cerca di ricavare un elenco di utenti validi per quel dominio tentando di concatenare nomi e cognomi comuni o addirittura provando tutte le combinazioni di lettere e numeri. È evidente che la maggior parte degli indirizzi generati non sarà valido ma in questo modo si possono trovare destinatari non direttamente pubblicati sulla rete e quindi non individuabili dal precedente metodo. Dopo un primo inoltro del messaggio di spam verranno eliminati tutti quelli risultati inesistenti.

A questo punto non resta che l'opera di spedizione vera e propria. Inviare il messaggio direttamente ad ogni destinatario ha il duplice inconveniente di risultare oneroso in termini di costo di connessione e di rendere facilmente individuabile la sorgente stessa dell'email che potrebbe essere bloccata dalla semplice analisi dell'indirizzo IP di connessione.

Entrambi i problemi vengono risolti perpetrando l'ennesimo furto, questa volta ai danni di amministratori di rete poco esperti che non configurano correttamente i loro server. Un server SMTP dovrebbe permettere di inoltrare la posta solo se il mittente o il destinatario del messaggio sono utenti locali del server. Se questo non succede a causa di una errata impostazione il server, definito Open Relay, permette a chiunque il suo utilizzo.
Usando un Open Relay lo spammer previene l'individuazione diretta della sua connessione e delega al server l'opera di smistamento e consegna dei messaggi nelle migliaia di caselle di posta di destinazione.

Ovviamente la sorgente dello spam sarà ancora presente all'interno delle intestazioni dell'email (header) e quindi ancora identificabile ad una analisi più approfondita. Per sviare ulteriormente i sospetti lo spammer aggiunge delle righe fasulle negli header per far credere che il server mittente sia un altro e che lui non sia altro che uno degli intermediari intervenuti per consegnare correttamente il messaggio. Un'analisi attenta permette ancora l'individuazione della falsificazione ma è certamente resa più difficile.

Come difenderci

Come abbiamo visto, di motivi validi per combattere lo spam e quelli che ne fanno uso ce ne sono a sufficienza. Come dobbiamo comportarci a riguardo?
In generale possiamo agire su tre diversi fronti: prevenzione, filtraggio e denuncia.

Il primo aspetto si prefigge lo scopo di individuare una serie di regole e di tecniche per evitare che gli spammer entrino in possesso del nostro indirizzo di posta attraverso strumenti di ricerca automatica. In seguito se ne parlerà diffusamente.

Se dobbiamo occuparci di filtraggio significa che l'aspetto preventivo non è stato sufficiente. Questo può succedere se l'indirizzo della nostra casella è stato generato automaticamente, se è stato inserito manualmente nel loro database o se, ovviamente, siamo stati poco cauti e lo abbiamo divulgato su internet senza precauzioni.

Per agire su questo fronte è indispensabile l'uso di un client di posta elettronica o un programma di terze parti che analizzi le email in ingresso ed in base ad una serie di regole da noi impostate separi quelle legittime da quelle pubblicitarie. I filtri in genere possono essere impostati per riconoscere un certo mittente o destinatario, per riconoscere particolari vocaboli presenti nell'oggetto o nel corpo dell'email e in base a questi decidere l'azione da compiere. È inoltre possibile eliminare direttamente il messaggio oppure memorizzarlo in una cartella speciale per essere ulteriormente analizzato dall'utente. Non sempre comunque questo tipo di strategia da dei buoni frutti: lo spam non individuato può essere ancora numeroso e alcune email legittime possono essere erroneamente scartate.

È da segnalare la recente diffusione di un tipo di filtro, denominato Bayesiano, che dà risultati molto più soddisfacenti rispetto a quelli tradizionali. Dopo una breve sessione di addestramento in cui si sottopone al filtro campioni di spam ricevuto, questo è in grado attraverso un'analisi statistica di indicare la probabilità che le email ricevute siano posta indesiderata.

Per sapene di più a riguardo si consiglia la lettura dell'articolo Filtri bayesiani, arma letale antispam di Paolo Attivissimo.

Per quando riguarda l'eventuale denuncia ad organi competenti si hanno due possibilità: la segnalazione ad organi di Abuse e, nel caso estremo, la denuncia al Garante per la protezione dei dati personali.

In ogni caso è possibile la segnalazione dello spammer ai servizi di Abuse del provider su cui risiede il suo sito e dei proprietari dei server usati illegalmente per inviare la posta. Sicuramente questa azione risulta molto più dannosa per gli spammer rispetto ad un semplice filtraggio perché in questo modo si cerca di minare direttamente la fonte. Una email filtrata automaticamente ci evita semplicemente l'incombenza di farlo manualmente. Ci fa sicuramente risparmiare tempo ma non elimina il problema alla radice né impedisce il furto di risorse.

Su http://www.collinelli.net/ si possono avere informazioni su come risalire alla reale fonte dello spamming e su come effettuare segnalazioni agli organi di abuse mentre nel caso si intendesse invece sporgere denuncia al Garante può essere molto interessante l'esperienza personale e il sito di Massimo Cavazzini.

Metodi di prevenzione

Il Garante per la protezione dei dati personali ha sancito che l'indirizzo email è a tutti gli effetti un dato personale che non può essere utilizzato indiscriminatamente da terzi nemmeno nel caso in cui questo sia reso pubblico su internet. Ovviamente questo non è sufficiente a fermare gli spammer e quindi dobbiamo armarci di alcuni accorgimenti per evitare di cadere nelle loro mani.

Ecco alcuni consigli:

• Per prima cosa bisogna mettersi in testa che la nostra email è un bene estremamente prezioso, bisogna averne cura e fornirla solo a persone di cui si ha assoluta fiducia.
• È buona norma usare più di una casella di posta. La principale verrà usata per la corrispondenza strettamente privata e quindi in nessun modo dovrà essere resa pubblica. Una seconda, sacrificabile e facilmente rimpiazzabile, potrà essere usata per iscrizioni online o altri scopi ritenuti a rischio spamming.
• Evitare di far inserire il proprio indirizzo di posta su servizi di elenchi online, sono le fonti preferite dagli spammer. Molti fornitori di servizi di posta offrono questa possibilità all'atto dell'iscrizione. Verificate che questa eventuale opzione non sia selezionata in modo predefinito.
• Leggere sempre attentamente le clausole dei contratti di un fornitore di un qualsiasi servizio online che prevede l'iscrizione tramite un indirizzo email. Spesso è previsto che l'indirizzo possa essere ceduto a terzi per l'invio di materiale informativo. Se non è possibile evitare questa possibilità si valuti la scelta di un servizio diverso.
• Si valuti la possibilità di utilizzare servizi di alias di posta che includono il filtraggio antispam. Un ottimo servizio gratuito è offerto da http://www.despammed.com. Il servizio non fornisce una nuova casella di posta ma semplicemente un nuovo alias del tipo nomeutente@despammed.com che ridigerà la posta nella vostra reale casella solo dopo averla ripulita dallo spamming. Questa scelta si rivela utile tutte le volte che ci è indispensabile pubblicare sulla rete un indirizzo al quale farci raggiungere.
• Non usare mai il proprio indirizzo di posta reale quando si inviano
  messaggi ai Newsgroup. Usenet è una vera miniera d'oro per gli
  spammer. Per risolvere il problema sono state escogitate alcune tecniche per
  pubblicare un indirizzo di posta inutilizzabile da un programma automatico di
  ricerca ma comprensibile ad un essere umano.

  Una prima tecnica consiste nel mascherare gli elementi distintivi di un indirizzo
  come il simbolo @ e il punto di separazione tra
  dominio e top level domain. Questi sono alcuni esempi

  webmaster(AT)html(DOT)it
  webmaster(CHIOCCIOLA)html(PUNTO)it
  
  in luogo diÂ

  webmaster@html.it
  
  Questo metodo è però oramai molto conosciuto dagli spammer che
  implementano tale tecnica anche nei loro motori di scansione.

  Un metodo più evoluto consiste nel rendere del tutto inutilizzabile
  l'indirizzo tramite l'inserimento di termini palesemente aggiunti al fine di
  depistare un programma automatico. Questi sono alcuni esempi:

  webmaster@NOSPAMhtml.it
  webmasterTOGLIMI@htmlANCHEQUESTO.it
  
  Come si intuisce chiunque capisce quali sono le parti da eliminare
  soprattutto se viene spiegato esplicitamente nel testo del messaggio. Un
  programma difficilmente potrà catalogare ed individuare tutte le stringhe
  da togliere. A questo proposito quindi si suggerisce di essere molto
  fantasiosi e di non scegliere termini molto usati. I due esempi di sopra
  sono sicuramente inflazionati.

  Altra possibilità è quella della sostituzione di parola:

  webmaster@FALSO.it

  nel testo del messaggio si indicherà:
  
  sostituire FALSO con html
  
  A questo punto sta solo a voi dare sfogo alla fantasia.
  Â

• Altro enorme pericolo sono gli indirizzi email inseriti come contatto nei siti web. I motori di ricerca degli spammer in questo caso oltre a cercare indirizzi nel testo della pagina provvedono a individuare tutti i link con una voce mailto: nel campo href. I problemi quindi sono due: mascherare l'indirizzo visualizzato e mascherare il contenuto del link relativo. In questo caso risulterebbe decisamente scomodo operare come nel caso dei newsgroup e quindi bisogna trovare una soluzione più furba.
  Una semplice possibilità per nascondere il testo è quella di creare una immagine contenente l'indirizzo email. Nessuno spider sarà mai in grado di individuarne il contenuto.
  Il mascheramento del link invece può essere realizzato tramite javascript che codifichino l'intera stringa href con gli equivalenti codici ASCII e che scrivano il risultato sulla pagina in modo dinamico.
  In ogni caso le possibilità sono moltepli e sono limitate solo dalla nostra fantasia.

  Nella pagina seguente sono descritte alcune tecniche che possono fare al nostro caso:
  http://www.turnstep.com/Spambot/html.html

Cosa non fare se si riceve posta indesiderata.

• Non aprire mai le email di spam. Spesso contengono link a immagini fittizie che vengono caricate dal sito web dello spammer. Tramite questa operazione riescono a verificare che il loro messaggio è stato aperto e quindi il vostro indirizzo di posta è valido e attivo. Per lo stesso identico motivo è buona norma disattivare l'eventuale anteprima fornita dal vostro client di posta. Â
• Non cliccare su eventuali link di rimozione dal database dello spammer presenti nell'email. Di regola lo spammer è bugiardo. Non fidatevi mai, non fareste altro che confermare nuovamente di aver letto il messaggio.
• Non rispondere mai allo spam. È una operazione del tutto inutile in quanto il mittente è stato sicuramente falsificato. Nessuno potrebbe ascoltare le vostre proteste... se mai avesse voglia di farlo.