Spam ma jedną ciekawą cechę: o tym, czy wiadomość jest spamem, nie decyduje samo to, że jest reklamą, że Cię irytuje albo że nie chcesz jej czytać. Znaczenie ma przede wszystkim to, w jaki sposób trafiła do Twojej skrzynki i czy nadawca miał podstawę, żeby ją do Ciebie wysłać. Dlatego newsletter sklepu, do którego sam się zapisałeś, nie staje się automatycznie spamem tylko dlatego, że po miesiącu masz już dość jego promocji.

Z drugiej strony są wiadomości, których nigdy nie zamawiałeś: oferta „pewnej inwestycji”, propozycja zakupu bazy klientów, wiadomość o spadku po nieznanym krewnym albo reklama produktu wysłana jednocześnie do tysięcy przypadkowych adresów. Tutaj jesteśmy znacznie bliżej właściwego znaczenia słowa spam. A jeśli taka wiadomość dodatkowo próbuje wyłudzić hasło albo dostarczyć złośliwy plik, zaczynamy mówić równocześnie o phishingu lub malspamie.

• Co to jest spam?
• Czy każda niechciana wiadomość jest spamem?
• Jak działa spam i skąd spamerzy mają adresy e-mail?
• Jakie rodzaje wiadomości uznajemy za spam?
• Jak rozpoznać spam?
• Co zrobić ze spamem?

W tym tekście chcę uporządkować przede wszystkim znaczenie samego słowa „spam”. To ważne, bo używamy go dzisiaj bardzo szeroko: spamuje nas sklep, spamuje aplikacja, spamuje ktoś na Messengerze, a folder „Spam” w skrzynce potrafi zawierać nawet prawidłową wiadomość. Spróbujmy więc oddzielić potoczne „mam już tego dość” od rzeczywistego mechanizmu masowej, niezamówionej korespondencji. Przy okazji pokażę Ci, dlaczego spam nie zawsze jest niebezpieczny, ale jednocześnie nie warto go traktować wyłącznie jako irytującego śmiecia.

Co to jest spam?

Spam w poczcie e-mail to przede wszystkim masowo wysyłana korespondencja, której odbiorca nie zamawiał i na której otrzymywanie nie wyraził zgody. W branży bezpieczeństwa i dostarczalności poczty często spotkasz skrót UBE – Unsolicited Bulk Email, czyli niezamówiona poczta masowa. To określenie jest bardzo wygodne, bo od razu porządkuje temat: wiadomość ma być jednocześnie niezamówiona i wysyłana masowo.

Treść ma tutaj drugorzędne znaczenie. Spamem może być reklama sklepu, oferta „zarabiania bez ryzyka”, zaproszenie do wątpliwego programu partnerskiego albo kompletnie absurdalna historia o fortunie czekającej na odbiorcę. Innymi słowy: wiadomość nie staje się spamem dlatego, że jest głupia. Staje się nim dlatego, że ktoś rozsyła ją hurtowo do osób, które jej nie chciały.

Skąd wzięła się nazwa „spam”?

Nazwa nie pochodzi od żadnego protokołu pocztowego. SPAM był nazwą konserwy mięsnej, a internetowe znaczenie słowa wiąże się ze skeczem Monty Pythona, w którym słowo „spam” powtarzane jest tak długo i tak nachalnie, że zaczyna zagłuszać normalną rozmowę. Trudno o lepszą metaforę skrzynki wypełnionej setkami podobnych wiadomości.

Sam problem jest zresztą starszy niż współczesny Internet. Za pierwszy szeroko opisywany przypadek masowej reklamy wysłanej pocztą elektroniczną uznaje się wiadomość z 1978 roku, w której Digital Equipment Corporation promowało prezentację nowych komputerów w sieci ARPANET. Już wtedy odbiorcy nie byli zachwyceni. Technologia się zmieniła, skala również, ale jedna rzecz została: nikt nie lubi, gdy ktoś przejmuje jego kanał komunikacji i zaczyna używać go jak własnego słupa ogłoszeniowego.

Czy każda niechciana wiadomość jest spamem?

Nie. I tutaj sam lubię rozdzielić dwie rzeczy, które w codziennym języku wrzucamy do jednego worka. Możesz powiedzieć: „ten sklep strasznie mnie spamuje”, mając na myśli trzy newslettery tygodniowo. Jeżeli jednak sam podałeś adres, zaznaczyłeś zgodę na komunikację i nadal jej nie wycofałeś, mamy do czynienia z zamówionym mailingiem – nawet jeżeli częstotliwość zaczyna Cię irytować.

W Polsce marketing przesyłany pocztą elektroniczną podlega zasadom zgody wynikającym m.in. z Prawa komunikacji elektronicznej. Jeśli zgodziłeś się na newsletter, powinieneś mieć również możliwość wycofania tej zgody. I to jest bardzo praktyczna granica: legalny mailing powinien pozwolić Ci przestać go otrzymywać. Jeżeli wypisujesz się z listy, a wiadomości nadal przychodzą albo nigdy nie przypominasz sobie zapisania na taką komunikację, sytuacja wygląda już zupełnie inaczej.

Sytuacja	Czy to spam?
Zapisałeś się do newslettera sklepu i otrzymujesz jego oferty	Nie w technicznym znaczeniu spamu – komunikacja została zamówiona.
Newsletter Cię denerwuje, ale jeszcze się z niego nie wypisałeś	Nadal nie staje się spamem tylko dlatego, że masz go dość.
Firma wysyła masową reklamę na adresy, których właściciele jej nie zamawiali	Tak – to klasyczny przykład niezamówionej poczty masowej.
Nieznany nadawca wysyła tysiącom osób tę samą historię o nagrodzie lub inwestycji	Tak, a jeżeli celem jest wyłudzenie pieniędzy, wiadomość jest równocześnie scamem.

To rozróżnienie jest istotne także z innego powodu. Jeśli każdą reklamę zaczniemy nazywać spamem, trudniej będzie potem nazwać po imieniu wiadomość, która rzeczywiście jest masowym nadużyciem. A ja jestem zwolennikiem prostego podejścia: im precyzyjniej nazywamy problem, tym łatwiej właściwie na niego zareagować.

Jak działa spam i skąd spamerzy mają adresy e-mail?

Spam opłaca się przede wszystkim dzięki skali. Jeżeli wysłanie ogromnej liczby wiadomości kosztuje niewiele, nadawca nie potrzebuje wysokiej skuteczności. Wystarczy, że bardzo mały odsetek odbiorców kliknie reklamę, kupi produkt, odpowie na ofertę albo przejdzie do kolejnego etapu oszustwa. Z punktu widzenia spamera nie musisz więc być idealnym klientem. Masz po prostu znaleźć się w wystarczająco dużej grupie.

Skąd bierze się Twój adres? Nie zawsze z jednego wielkiego „wycieku Internetu”. Często ślad zostawiamy w wielu miejscach przez lata, a później te dane zaczynają krążyć pomiędzy bazami. Adres może trafić do spamera między innymi przez:

• wycieki danych z serwisów, sklepów i usług, w których zakładałeś konto,
• automatyczne zbieranie adresów z publicznych stron WWW, katalogów, forów i dokumentów,
• kupowane lub wymieniane bazy o niejasnym pochodzeniu,
• generowanie prawdopodobnych adresów, np. imie.nazwisko@domena.pl, biuro@domena.pl czy kontakt@domena.pl,
• przejęte skrzynki i listy kontaktów, z których można pozyskać kolejne działające adresy.

Warto zwrócić uwagę na jeszcze jeden mechanizm. Czasami wystarczy, że odpowiesz na podejrzaną wiadomość albo klikniesz przygotowany przez oszusta link, żeby potwierdzić, że adres jest aktywny i ktoś naprawdę czyta przychodzącą pocztę. Dlatego inaczej traktuj legalny newsletter znanej firmy, a inaczej anonimową wiadomość z egzotyczną ofertą i przyciskiem „UNSUBSCRIBE”. W pierwszym przypadku wypisanie się jest normalną czynnością. W drugim nie masz pewności, dokąd prowadzi link i komu właśnie potwierdzasz aktywność skrzynki.

Jeżeli często podajesz ten sam adres w sklepach, formularzach, konkursach i publicznych katalogach, rozważ również korzystanie z dodatkowego adresu albo aliasu poczty e-mail. Nie zatrzyma to całego spamu, ale ułatwia oddzielenie ważnej korespondencji od adresów używanych przy rejestracjach i usługach.

Jakie rodzaje wiadomości uznajemy za spam?

Tu łatwo wpaść w pułapkę i stworzyć encyklopedię „rodzajów spamu”, chociaż część nazw opisuje zupełnie inne zjawiska. Lepiej potraktować spam jako sposób dystrybucji, a dopiero potem zapytać, co właściwie znajduje się w wiadomości. Ta sama masowa wysyłka może przecież zawierać zwykłą reklamę, oszustwo, phishing albo złośliwy plik.

Co trafia do skrzynki?	Na czym polega?	Co jest celem?
Spam reklamowy	Masowa oferta produktu lub usługi wysłana bez zamówienia przez odbiorcę.	Sprzedaż, wejście na stronę, pozyskanie kontaktu.
Scam rozsyłany jako spam	Masowa wiadomość przedstawia fałszywą nagrodę, inwestycję, spadek lub inną historię.	Wyłudzenie pieniędzy albo danych.
Phishing wysłany masowo	Wiadomość podszywa się pod bank, sklep, kuriera lub usługę i prowadzi odbiorcę do fałszywego procesu.	Kradzież danych logowania, danych płatniczych albo dostępu.
Malspam	Masowo wysyłana poczta służy jako nośnik złośliwego linku lub załącznika.	Infekcja urządzenia, kradzież danych, dalszy dostęp do systemu.

Spójrz na to w ten sposób: spam mówi nam, jak wiadomość została rozesłana, a phishing albo malspam mówią więcej o tym, co nadawca próbuje dzięki niej osiągnąć. Jedna wiadomość może więc pasować do dwóch kategorii jednocześnie. To nie błąd w klasyfikacji – po prostu opisujemy dwa różne elementy tego samego zdarzenia.

Dobrym przykładem jest wiadomość „Twoja paczka czeka na dopłatę 1,49 zł”. Jeżeli identyczny tekst trafia masowo do przypadkowych odbiorców, jest to spam. Jeżeli link prowadzi do fałszywej strony i próbuje wyłudzić dane karty, wiadomość jest równocześnie phishingiem. Gdy zamiast formularza płatniczego dostajesz plik, którego uruchomienie instaluje złośliwe oprogramowanie, dochodzi malspam. Jedno zdanie, trzy poziomy opisu.

Jak rozpoznać spam?

Nie szukałbym jednej magicznej cechy. Spam filtrujemy dzisiaj na podstawie całego zestawu sygnałów, a jako odbiorca możesz zrobić podobnie. Zadaj sobie najpierw trzy pytania: czy znam nadawcę, czy spodziewałem się tej wiadomości i czy jej treść ma jakikolwiek związek ze mną? Jeżeli odpowiedź na wszystkie trzy brzmi „nie”, ostrożność jest uzasadniona.

Typowe przykłady wyglądają chociażby tak:

• „Wybraliśmy Twój adres do odbioru nagrody. Potwierdź dane do wysyłki.”
• „Oferta biznesowa – 500% zysku bez ryzyka. Tylko dziś.”
• „Posiadam środki należące do osoby o takim samym nazwisku jak Twoje. Skontaktuj się ze mną poufnie.”
• „Twoja witryna nie jest widoczna w Google. Gwarantujemy TOP 1 w siedem dni.”

Oczywiście pojedyncze zdanie nie przesądza sprawy. Sprzedawca może wysłać normalną ofertę, a prawdziwy sklep potrafi stworzyć fatalny temat wiadomości. Dlatego sprawdź również właściwy adres nadawcy, domenę, adres odpowiedzi oraz – jeśli sytuacja tego wymaga – techniczne informacje zawarte w nagłówku wiadomości e-mail. Samo pole From nie daje pełnego obrazu tego, skąd wiadomość rzeczywiście przyszła.

Czy wiadomość w folderze Spam zawsze jest spamem?

Nie. Folder „Spam” to wynik decyzji filtra, a nie ostateczny wyrok na wiadomość. System analizuje reputację nadawcy i serwera, sposób uwierzytelnienia poczty, historię wysyłek, treść, linki, zachowanie innych odbiorców i wiele dodatkowych sygnałów. Zdarza się więc, że prawidłowy newsletter, faktura albo pierwsza wiadomość od nowego kontrahenta trafi tam przez pomyłkę.

To działa również w drugą stronę: obecność wiadomości w skrzynce odbiorczej nie oznacza, że ktoś potwierdził jej bezpieczeństwo. Filtry są bardzo przydatne, ale nie czytają korespondencji z Twoim kontekstem. Nie wiedzą, że nigdy nie miałeś konta w danym banku, że nie czekasz na tę paczkę albo że kontrahent zawsze rozliczał się na inny numer rachunku. Tę część oceny nadal wykonujesz Ty.

Jeżeli wiadomości od konkretnego, zaufanego nadawcy regularnie wpadają do spamu, przydatny będzie poradnik o białej liście nadawców e-mail. Nie dodawaj jednak do zaufanych adresów wszystkiego tylko po to, żeby „filtr przestał przeszkadzać” – wtedy sam odbierzesz mu część sensu.

Co zrobić ze spamem?

Najpierw ustal, z czym masz do czynienia. Jeśli to newsletter firmy, który kiedyś zamówiłeś, skorzystaj z prawidłowego mechanizmu wypisania się. Jeżeli wiadomość pochodzi od nieznanego nadawcy, wygląda jak masowa reklama albo oszustwo, nie wdawaj się w korespondencję. Oznacz ją jako spam, a gdy zawiera próbę wyłudzenia danych – również jako phishing, jeśli Twój dostawca poczty udostępnia taką opcję.

W firmowej skrzynce nie bagatelizuj sprawy tylko dlatego, że „to przecież zwykły spam”. Kilka podobnych zgłoszeń od pracowników daje administratorom coś, czego pojedynczy odbiorca nie widzi: wzór kampanii. Można wtedy blokować konkretne domeny, adresy, serwery, charakterystyczne linki albo typy załączników. I tutaj wracamy do rzeczy, o której pisałem przy phishingu – bezpieczeństwo poczty nie kończy się na Twojej własnej skrzynce. Twoja wiadomość może być jedną z setek wysłanych do całej organizacji.

Jeżeli chcesz szerzej uporządkować podstawy, zajrzyj również do poradnika jak bezpiecznie korzystać z poczty e-mail. Spam jest tylko jednym z zagrożeń, a część wiadomości, które wyglądają jak zwykły śmieć, ma znacznie konkretniejszy cel.

Pozostając przy temacie zagrożeń, zapraszam Cię również do przeczytania:

• Phishing – co to jest, jak działa i jak go rozpoznać? – jeśli chcesz zrozumieć wiadomości, które próbują skłonić Cię do podania danych albo wykonania określonej czynności.
• Spear phishing – co to jest i czym różni się od phishingu? – o atakach przygotowanych pod konkretną osobę lub firmę.
• BEC (Business Email Compromise) – co to jest i jak działa? – o oszustwach wykorzystujących firmową korespondencję, zaufanie i procesy płatnicze.

Najprostsza zasada, którą warto zapamiętać, brzmi więc trochę inaczej niż „spam to każda wiadomość, której nie chcę”. Spam to przede wszystkim niezamówiona korespondencja rozsyłana masowo. Może być tylko irytującą reklamą, ale może też stanowić pierwszy etap oszustwa, phishingu albo infekcji. Dlatego nie warto ani panikować przy każdej reklamie, ani machać ręką na wszystko, co w skrzynce wygląda jak śmieć.