En el uso de Internet , una bomba de correo electrónico es una forma de abuso de la red que envía grandes volúmenes de correo electrónico a una dirección para desbordar el buzón, [1] [2] saturar el servidor donde está alojada la dirección de correo electrónico en un ataque de denegación de servicio [3] o como una cortina de humo para distraer la atención de mensajes de correo electrónico importantes que indican una violación de seguridad . [4]
Hay tres métodos para perpetrar una bomba de correo electrónico: correo masivo, enlaces a listas y bombardeo de archivos zip. [5]
El envío masivo de correo consiste en enviar numerosos correos electrónicos duplicados a la misma dirección de correo electrónico . Este tipo de bombas de correo son fáciles de diseñar, pero su extrema simplicidad significa que pueden ser fácilmente detectadas por los filtros de spam . El bombardeo de correo electrónico mediante correo masivo también se realiza comúnmente como un ataque de denegación de servicio mediante el empleo del uso de botnets "zombis" ; redes jerárquicas de computadoras comprometidas por malware y bajo el control del atacante. De manera similar a su uso en el spam , el atacante ordena a la botnet que envíe millones de correos electrónicos, pero a diferencia del spam de botnet normal, los correos electrónicos están todos dirigidos a una o unas pocas direcciones que el atacante desea inundar. Esta forma de bombardeo de correo electrónico es similar a otros ataques de inundación de denegación de servicio. Como los objetivos son con frecuencia los hosts dedicados a manejar el sitio web y las cuentas de correo electrónico de una empresa, este tipo de ataque puede ser devastador para ambos servicios del host.
Este tipo de ataque es más difícil de combatir que una simple bomba de correo masivo debido a las múltiples direcciones de origen y la posibilidad de que cada computadora zombi envíe un mensaje diferente o emplee técnicas ocultas para burlar los filtros de spam. [5]
El ataque de listas, también conocido como "bomba de racimo de correo electrónico", consiste en suscribir una dirección de correo electrónico determinada a varias listas de correo electrónico. [5] [6] La víctima tiene que darse de baja de estos servicios no deseados manualmente. El ataque se puede llevar a cabo automáticamente con scripts simples: es fácil, casi imposible rastrear al perpetrador y potencialmente muy destructivo. [7] En agosto de 2016 se observó un ataque masivo de este tipo dirigido a direcciones de correo electrónico .gov. [8] Los mensajes de correo electrónico en la inundación no son falsificados: suelen ser correos electrónicos de confirmación de boletines informativos y suscripciones a servicios legítimos de Internet. El atacante explota sitios web que permiten a los clientes de Internet registrarse en algún servicio con su dirección de correo electrónico. El atacante registra a la víctima con su dirección de correo electrónico en varios de esos servicios, que, como resultado, le envían correos electrónicos. [9]
Para evitar este tipo de bombardeo, la mayoría de los servicios de suscripción por correo electrónico envían un correo electrónico de confirmación a la bandeja de entrada de una persona cuando se utiliza ese correo electrónico para registrarse en una suscripción. [5] Sin embargo, incluso los correos electrónicos de confirmación contribuyen al ataque. Una mejor defensa evitaría que los sitios web fueran explotados sin abandonar los formularios de suscripción. [7] Después de que se complete un formulario de suscripción, el sitio web crearía dinámicamente un enlace mailto a sí mismo. Un usuario legítimo enviaría entonces un mensaje para validar la solicitud sin recibir ningún correo electrónico del sitio web. Si bien el correo electrónico del remitente podría ser falsificado, la dirección IP SMTP del remitente no puede. Por lo tanto, el administrador de listas puede verificar que el correo electrónico en la solicitud del formulario coincida con el servidor SMTP de origen en el mensaje de validación.
Una gran cantidad de correos electrónicos de confirmación iniciados por robots de registro que registran una dirección de correo electrónico específica en una multitud de servicios se pueden utilizar para distraer la atención de correos electrónicos importantes que indican que se ha producido una vulneración de seguridad en otro lugar. Si, por ejemplo, se ha pirateado una cuenta de Amazon, el pirata informático puede ingeniárselas para enviar una avalancha de correos electrónicos de confirmación a la dirección de correo electrónico asociada a la cuenta para ocultar el hecho de que se ha cambiado la dirección de envío de Amazon y el pirata informático ha realizado compras. [4]
Una bomba ZIP es una variante del bombardeo de correo. Después de que la mayoría de los servidores de correo comerciales comenzaron a revisar el correo con software antivirus y filtrar ciertos tipos de archivos maliciosos, EXE , RAR , Zip , 7-Zip , el software del servidor de correo se configuró para descomprimir archivos y verificar también su contenido. Una nueva idea para combatir esta solución fue componer una "bomba" que consistiera en un enorme archivo de texto, que contuviera, por ejemplo, solo la letra z repetida millones de veces. Un archivo de este tipo se comprime en un archivo relativamente pequeño, pero su descompresión (especialmente por las primeras versiones de los servidores de correo) utilizaría una mayor cantidad de procesamiento, lo que podría resultar en una denegación de servicio . [5] Un archivo ZIP o .tar.gz puede incluso contener una copia de sí mismo , lo que causa una recursión infinita si el servidor verifica archivos de archivo anidados. [10]
Una "bomba de texto" es una variante similar al envío de una gran cantidad de mensajes de texto por SMS . La técnica es un medio de acoso cibernético o acoso en línea. Desde entonces, las aplicaciones en línea en el sistema operativo Android han sido prohibidas como un medio para enviar bombas de texto. Los mensajes de texto también pueden generar altos cargos en la factura telefónica en algunos planes móviles. Además, también se han creado ciertas aplicaciones de teléfono para evitar las bombas de texto en el sistema operativo Android. [11]