El correo no deseado , también conocido como correo basura , correo spam o simplemente spam , son mensajes no solicitados enviados de forma masiva por correo electrónico ( spamming ). El nombre proviene de un boceto de Monty Python en el que el nombre del producto de cerdo enlatado Spam es omnipresente, inevitable y repetitivo. [1] El spam por correo electrónico ha crecido constantemente desde principios de la década de 1990, y en 2014 se estimaba que representaba alrededor del 90% del tráfico total de correo electrónico. [2] [3]
Dado que los gastos del spam corren a cargo principalmente del destinatario, [4] en realidad se trata de publicidad a portes debidos . Por tanto, es un ejemplo de externalidad negativa . [5]
La definición legal y el estatus del spam varían de una jurisdicción a otra, pero en ninguna parte las leyes y demandas han tenido mucho éxito en detener el spam.
La mayoría de los mensajes de spam por correo electrónico son de naturaleza comercial. Ya sean comerciales o no, muchos no sólo son molestos como una forma de robo de atención , sino también peligrosos porque pueden contener enlaces que conducen a sitios web de phishing o sitios que alojan malware o incluyen malware como archivos adjuntos .
Los spammers recopilan direcciones de correo electrónico de salas de chat, sitios web, listas de clientes, grupos de noticias y virus que recopilan las libretas de direcciones de los usuarios. Estas direcciones de correo electrónico recopiladas a veces también se venden a otros spammers.
En los inicios de Internet (la ARPANET ), el envío de correo electrónico comercial estaba prohibido. [6] Gary Thuerk envió el primer mensaje de correo electrónico no deseado en 1978 a 600 personas. Fue reprendido y le dijeron que no volviera a hacerlo. [7] Ahora la prohibición del spam se aplica mediante los Términos de servicio / Política de uso aceptable (ToS/AUP) de los proveedores de servicios de Internet (ISP) y la presión de los pares.
El spam lo envían tanto organizaciones de buena reputación como empresas de menor importancia. Cuando el spam lo envían empresas de buena reputación, a veces se lo denomina Mainsleaze . [8] [9] Mainsleaze representa aproximadamente el 3% del spam enviado a través de Internet. [10]
Muchos correos electrónicos no deseados contienen URL a uno o varios sitios web. Según un informe de Cyberoam de 2014, cada día se envían una media de 54 mil millones de mensajes spam. "Los productos farmacéuticos (Viagra y similares) aumentaron un 45% con respecto al análisis del último trimestre, liderando el paquete de spam de este trimestre. Los correos electrónicos que pretenden ofrecer trabajos con dinero en efectivo rápido y fácil ocupan el segundo lugar, representando aproximadamente el 15% de todos los correos electrónicos no deseados. Y, completando el tercer puesto, se encuentran los correos electrónicos no deseados sobre productos dietéticos (como Garcinia gummi-gutta o Garcinia Cambogia), que representan aproximadamente el 1%". [11]
El spam también es un medio para que los estafadores estafen a los usuarios para que ingresen información personal en sitios web falsos utilizando correos electrónicos falsificados para que parezcan de bancos u otras organizaciones, como PayPal . Esto se conoce como phishing . El phishing dirigido, en el que se utiliza información conocida sobre el destinatario para crear correos electrónicos falsificados, se conoce como phishing dirigido . [12]
Si un especialista en marketing tiene una base de datos que contiene nombres, direcciones y números de teléfono de los clientes, puede pagar para comparar su base de datos con una base de datos externa que contenga direcciones de correo electrónico. Luego, la empresa tiene los medios para enviar correos electrónicos a personas que no lo han solicitado, lo que puede incluir personas que deliberadamente han retenido su dirección de correo electrónico. [13]
El spam de imágenes , o spam basado en imágenes, [14] [15] es un método de ofuscación mediante el cual el texto del mensaje se almacena como una imagen GIF o JPEG y se muestra en el correo electrónico. Esto evita que los filtros de spam basados en texto detecten y bloqueen mensajes de spam. Según se informa, el spam de imágenes se utilizó a mediados de la década de 2000 para publicitar acciones de " bombeo y descarga ". [dieciséis]
A menudo, el spam de imágenes contiene texto sin sentido generado por computadora que simplemente molesta al lector. Sin embargo, la nueva tecnología en algunos programas intenta leer las imágenes intentando encontrar texto en ellas. Estos programas no son muy precisos y, a veces, filtran imágenes inocentes de productos, como una caja que tiene palabras.
Sin embargo, una técnica más nueva es utilizar una imagen GIF animada que no contenga texto claro en su cuadro inicial, o contorsionar las formas de las letras en la imagen (como en CAPTCHA ) para evitar la detección por herramientas de reconocimiento óptico de caracteres .
El spam en blanco es spam que carece de un anuncio de carga útil. A menudo falta por completo el cuerpo del mensaje, así como la línea de asunto. Aún así, se ajusta a la definición de spam debido a su naturaleza de correo electrónico masivo y no solicitado. [17]
El spam en blanco puede originarse de diferentes formas, ya sea de forma intencionada o no:
La retrodispersión es un efecto secundario del spam, los virus y los gusanos del correo electrónico . Ocurre cuando los servidores de correo electrónico están mal configurados para enviar un mensaje de rebote falso al remitente del sobre al rechazar o poner en cuarentena el correo electrónico (en lugar de simplemente rechazar el intento de enviar el mensaje).
Si la dirección del remitente fue falsificada, entonces el rebote puede ir a parar a una parte inocente. Dado que estos mensajes no fueron solicitados por los destinatarios, son sustancialmente similares entre sí y se entregan en cantidades masivas, califican como correo electrónico masivo no solicitado o spam. Como tal, los sistemas que generan retrodispersión de correo electrónico pueden terminar figurando en varias DNSBL y violar los Términos de servicio de los proveedores de servicios de Internet .
Si un individuo u organización puede identificar el daño que le ha causado el spam e identificar quién lo envió; entonces podrán presentar una demanda para obtener un recurso legal , por ejemplo, por usurpación de bienes muebles . Se han logrado numerosos acuerdos civiles importantes de esta manera, [19] aunque otros en su mayoría no han tenido éxito en el cobro de daños y perjuicios. [20] [21]
También es común el procesamiento penal de los spammers bajo leyes de fraude o delitos informáticos , particularmente si accedieron ilegalmente a otras computadoras para crear botnets , o si los correos electrónicos eran phishing u otras formas de fraude criminal. [22] [23] [24] [25]
Por último, en la mayoría de los países existe legislación específica para tipificar ciertas formas de spam como delito penal, como se describe a continuación:
El artículo 13 de la Directiva de la Unión Europea sobre Privacidad y Comunicaciones Electrónicas (2002/58/CE) establece que los estados miembros de la UE tomarán las medidas apropiadas para garantizar que las comunicaciones no solicitadas con fines de marketing directo tampoco estén permitidas sin el consentimiento de los suscriptores. interesados o respecto de los abonados que no deseen recibir estas comunicaciones, la elección entre estas opciones será determinada por la legislación nacional.
En el Reino Unido, por ejemplo, no se pueden enviar correos electrónicos no solicitados a un suscriptor individual a menos que se haya obtenido permiso previo o que exista una relación comercial preexistente entre las partes. [26] [27]
La Ley de lucha contra el spam inalámbrico y en Internet de 2010 (que entró en vigor en 2014) [28] es una legislación canadiense destinada a luchar contra el spam. [29]
La Ley de spam de 2003 , que cubre algunos tipos de spam telefónico y de correo electrónico. [30] Las sanciones son de hasta 10.000 unidades de pena , o 2.000 unidades de pena para una persona que no sea una persona jurídica.
En Estados Unidos, muchos estados promulgaron leyes antispam a finales de los años 1990 y principios de los años 2000. Todos estos fueron posteriormente reemplazados por la Ley CAN-SPAM de 2003 , [31] que era en muchos casos menos restrictiva. CAN-SPAM también se adelantó a cualquier legislación estatal adicional, pero dejó intactas las leyes relacionadas que no son específicas del correo electrónico. [32] Los tribunales han dictaminado que el spam puede constituir, por ejemplo, una invasión de bienes muebles. [33]
El correo electrónico comercial masivo no viola CAN-SPAM, siempre que cumpla con ciertos criterios, como una línea de asunto veraz y sin información falsificada en los encabezados. Si no cumple con alguno de estos requisitos es ilegal. Quienes se oponen al spam recibieron la nueva ley con consternación y decepción, y casi de inmediato la denominaron Ley "Usted puede enviar spam". [34] [35]
En la práctica, tuvo un pequeño impacto positivo. En 2004, menos del uno por ciento del spam cumplía con CAN-SPAM, [36] aunque una revisión de 2005 realizada por la Comisión Federal de Comercio afirmó que la cantidad de spam sexualmente explícito había disminuido significativamente desde 2003 y el volumen total había comenzado a estabilizarse. [37] Muchos otros observadores consideraron que había fracasado, [38] [39] aunque ha habido varios procesamientos de alto perfil. [40] [41]
Los spammers pueden cometer fraude deliberado al enviar sus mensajes. Los spammers suelen utilizar nombres, direcciones, números de teléfono y otra información de contacto falsos para configurar cuentas "desechables" en varios proveedores de servicios de Internet. También suelen utilizar números de tarjetas de crédito falsificados o robados para pagar estas cuentas. Esto les permite pasar rápidamente de una cuenta a la siguiente a medida que los ISP anfitriones descubren y cierran cada una.
Los remitentes pueden hacer todo lo posible para ocultar el origen de sus mensajes. Las grandes empresas podrán contratar a otra firma para que envíe sus mensajes de manera que las quejas o bloqueos de correo electrónico recaigan en un tercero. Otros se dedican a la suplantación de direcciones de correo electrónico (mucho más fácil que la suplantación de direcciones IP ). El protocolo de correo electrónico ( SMTP ) no tiene autenticación de forma predeterminada, por lo que el spammer puede fingir que origina un mensaje aparentemente desde cualquier dirección de correo electrónico. Para evitar esto, algunos ISP y dominios requieren el uso de SMTP-AUTH , lo que permite la identificación positiva de la cuenta específica desde la que se origina un correo electrónico.
Los remitentes no pueden falsificar por completo las cadenas de entrega de correo electrónico (el encabezado "Recibido"), ya que el servidor de correo receptor registra la conexión real desde la dirección IP del último servidor de correo. Para contrarrestar esto, algunos spammers falsifican encabezados de entrega adicionales para que parezca como si el correo electrónico hubiera atravesado previamente muchos servidores legítimos.
La suplantación de identidad puede tener graves consecuencias para los usuarios legítimos de correo electrónico. Sus bandejas de entrada de correo electrónico no sólo pueden atascarse con correos electrónicos "no entregables" además de volúmenes de spam, sino que también pueden ser identificados erróneamente como spammers. No sólo pueden recibir correos electrónicos furiosos de víctimas de spam, sino que (si las víctimas de spam denuncian al propietario de la dirección de correo electrónico al ISP, por ejemplo) un ISP ingenuo puede cancelar su servicio por enviar spam.
Los spammers frecuentemente buscan y utilizan sistemas vulnerables de terceros, como retransmisiones de correo abiertas y servidores proxy abiertos . SMTP reenvía correo de un servidor a otro; los servidores de correo que ejecutan los ISP comúnmente requieren alguna forma de autenticación para garantizar que el usuario sea cliente de ese ISP.
Cada vez más, los spammers utilizan redes de PC infectadas con malware ( zombis ) para enviar su spam. Las redes zombis también se conocen como botnets (este tipo de malware zombificante se conoce como bot , abreviatura de robot ). En junio de 2006, se estimaba que el 80 por ciento del spam de correo electrónico se enviaba desde PC zombis, un aumento del 30 por ciento respecto al año anterior. Se estima que en junio de 2006 se enviaron diariamente 55 mil millones de correo no deseado por correo electrónico, un aumento de 25 mil millones por día desde junio de 2005. [42]
Durante el primer trimestre de 2010, se estima que cada día se pusieron en línea 305.000 PC zombie recién activadas por actividad maliciosa. Esta cifra es ligeramente inferior a los 312.000 del cuarto trimestre de 2009. [43]
Brasil produjo la mayor cantidad de zombis en el primer trimestre de 2010. Brasil fue la fuente del 20 por ciento de todos los zombis, cifra inferior al 14 por ciento del cuarto trimestre de 2009. India tuvo el 10 por ciento, Vietnam el 8 por ciento y Rusia el 10 por ciento. Federación al 7 por ciento. [43]
Para combatir los problemas planteados por botnets, retransmisiones abiertas y servidores proxy, muchos administradores de servidores de correo electrónico bloquean de forma preventiva los rangos de IP dinámicos e imponen requisitos estrictos a otros servidores que deseen entregar correo. El DNS inverso confirmado hacia adelante debe configurarse correctamente para el servidor de correo saliente y se bloquean grandes franjas de direcciones IP, a veces de forma preventiva, para evitar el spam. Estas medidas pueden plantear problemas a quienes quieran ejecutar un pequeño servidor de correo electrónico desde una conexión doméstica económica. La inclusión en listas negras de rangos de IP debido al spam que emana de ellos también causa problemas a los servidores de correo electrónico legítimos en el mismo rango de IP.
El volumen total de spam por correo electrónico ha ido creciendo constantemente, pero en 2011 la tendencia pareció revertirse. [44] [45] La cantidad de spam que los usuarios ven en sus buzones de correo es sólo una parte del spam total enviado, ya que las listas de spammers a menudo contienen un gran porcentaje de direcciones no válidas y muchos filtros de spam simplemente eliminan o rechazan el "spam obvio".
El primer correo electrónico no deseado conocido, que anunciaba una presentación de producto DEC, fue enviado en 1978 por Gary Thuerk a 600 direcciones; el número total de usuarios en ARPANET era 2600 en ese momento, aunque las limitaciones del software significaron que solo un poco más de la mitad de los destinatarios previstos realmente lo recibieron. él. [46] En agosto de 2010, el número de mensajes spam enviados por día se estimaba en alrededor de 200 mil millones. [47] Más del 97% de todos los correos electrónicos enviados a través de Internet en 2008 no fueron no deseados, según un informe de seguridad de Microsoft . [48] MAAWG estima que el 85% del correo entrante es "correo electrónico abusivo", en la segunda mitad de 2007. El tamaño de la muestra para el estudio de MAAWG fue de más de 100 millones de buzones de correo. [49] [50] [51] En 2018, con las crecientes redes de afiliación y fraudes por correo electrónico en todo el mundo, alrededor del 90% del tráfico de correo electrónico global es spam según el estudio de IPwarmup.com, que también afecta a los remitentes de correo electrónico legítimos para lograr la entrega a la bandeja de entrada. [52]
Una encuesta de 2010 entre usuarios de correo electrónico de Estados Unidos y Europa mostró que el 46% de los encuestados había abierto mensajes de spam, aunque sólo el 11% había hecho clic en un enlace. [53]
Según Steve Ballmer en 2004, el fundador de Microsoft, Bill Gates, recibe cuatro millones de correos electrónicos al año, la mayoría de ellos spam. [54] Esto se informó originalmente incorrectamente como "por día". [55]
Al mismo tiempo , Jef Poskanzer , propietario del nombre de dominio acme.com, recibía más de un millón de correos electrónicos no deseados al día. [56]
Una encuesta de 2004 estimó que la pérdida de productividad cuesta a los usuarios de Internet en los Estados Unidos 21.580 millones de dólares al año, mientras que otra informó que el coste era de 17.000 millones de dólares, frente a los 11.000 millones de dólares de 2003. En 2004, el coste de productividad mundial del spam se estimó en 50.000 millones de dólares. en 2005. [57]
Debido a la naturaleza internacional del spam, el spammer, la computadora que envía el spam secuestrado, el servidor publicitado como spam y el usuario objetivo del spam suelen estar ubicados en diferentes países. Hasta el 80% del spam recibido por los usuarios de Internet en América del Norte y Europa puede atribuirse a menos de 200 spammers. [59]
En términos de volumen de spam: Según Sophos , las principales fuentes de spam en el cuarto trimestre de 2008 (de octubre a diciembre) fueron: [ ¿ fuente no fiable? ] [12] [60] [61] [62] [63] [64] [65] [66] [67] [68]
Cuando se agrupa por continentes, el spam proviene principalmente de:
En términos de número de direcciones IP: el Proyecto Spamhaus ocupa los tres primeros lugares: Estados Unidos, China y Rusia, [69] seguidos por Japón, Canadá y Corea del Sur.
En términos de redes: al 13 de diciembre de 2021 [update], las tres redes que albergan a la mayor cantidad de spammers son ChinaNet , Amazon y Airtel India . [70]
La Capacidad de Asesoramiento sobre Incidentes Informáticos (CIAC) del Departamento de Energía de EE. UU . ha proporcionado contramedidas específicas contra el spam por correo electrónico. [71]
Algunos métodos populares para filtrar y rechazar spam incluyen el filtrado de correo electrónico basado en el contenido del correo electrónico, listas negras basadas en DNS ( DNSBL ), listas grises , trampas de spam , aplicación de requisitos técnicos del correo electrónico ( SMTP ), sistemas de suma de verificación para detectar correo electrónico masivo y mediante poner algún tipo de costo al remitente a través de un sistema de prueba de trabajo o un micropago . Cada método tiene fortalezas y debilidades y cada uno es controvertido debido a sus debilidades. Por ejemplo, la oferta de una empresa de "[eliminar] algunas direcciones spamtrap y honeypot" de las listas de correo electrónico anula la capacidad de esos métodos para identificar a los spammers.
La protección contra spam saliente combina muchas de las técnicas para escanear mensajes que salen de la red de un proveedor de servicios, identificar spam y tomar medidas como bloquear el mensaje o cerrar la fuente del mensaje.
La autenticación de correo electrónico para evitar la suplantación de direcciones "De:" se hizo popular en la década de 2010.
Las medidas de protección contra el spam pueden provocar daños colaterales. Esto incluye:
Para enviar spam, los spammers deben obtener las direcciones de correo electrónico de los destinatarios previstos. Para ello, tanto los propios spammers como los comerciantes de listas recopilan enormes listas de posibles direcciones de correo electrónico. Dado que el spam es, por definición, no solicitado, esta recolección de direcciones se realiza sin el consentimiento (y a veces contra la voluntad expresa) de los propietarios de las direcciones. Una sola ejecución de spam puede tener como objetivo decenas de millones de direcciones posibles, muchas de las cuales no son válidas, están mal formadas o no se pueden entregar.
Muchas técnicas de filtrado de spam funcionan buscando patrones en los encabezados o cuerpos de los mensajes. Por ejemplo, un usuario puede decidir que todos los correos electrónicos que recibe con la palabra " Viagra " en la línea de asunto son spam e indicarle a su programa de correo que elimine automáticamente todos esos mensajes. Para anular dichos filtros, el spammer puede escribir mal intencionalmente palabras comúnmente filtradas o insertar otros caracteres, a menudo en un estilo similar a leetspeak , como en los siguientes ejemplos: V1agra , Via'gra , Vi@graa , vi*gra , \/iagra . Esto también permite muchas formas diferentes de expresar una palabra determinada, lo que dificulta su identificación para el software de filtrado.
El principio de este método es dejar la palabra legible para los humanos (que pueden reconocer fácilmente la palabra deseada en caso de errores ortográficos), pero que no sea probable que sea reconocida por un programa de computadora. Esto sólo es algo efectivo, porque los patrones de filtro modernos han sido diseñados para reconocer términos incluidos en la lista negra en las diversas iteraciones de errores ortográficos. Otros filtros apuntan a los métodos de ofuscación reales, como el uso no estándar de puntuación o números en lugares inusuales. De manera similar, el correo electrónico basado en HTML brinda al spammer más herramientas para ofuscar el texto. Insertar comentarios HTML entre letras puede frustrar algunos filtros. Otra táctica común consiste en presentar el texto como una imagen, que se envía o se carga desde un servidor remoto.
A medida que el filtrado bayesiano se ha vuelto popular como técnica de filtrado de spam, los spammers han comenzado a utilizar métodos para debilitarlo. En una aproximación aproximada, los filtros bayesianos se basan en las probabilidades de las palabras. Si un mensaje contiene muchas palabras que se usan sólo en spam y pocas que nunca se usan en spam, es probable que sea spam. Para debilitar los filtros bayesianos, algunos spammers, junto con el argumento de venta, ahora incluyen líneas de palabras aleatorias e irrelevantes, en una técnica conocida como envenenamiento bayesiano .
Los activistas antispam consideran que otras actividades y prácticas comerciales en línea están relacionadas con el spam. A veces se les denomina servicios de soporte de spam : servicios comerciales, distintos del envío de spam en sí, que permiten al spammer continuar operando. Los servicios de soporte de spam pueden incluir el procesamiento de pedidos de productos anunciados en spam, alojamiento de sitios web o registros DNS a los que se hace referencia en mensajes de spam, o una serie de servicios específicos como los siguientes:
Algunas empresas de alojamiento de Internet anuncian alojamiento a prueba de balas o de gran volumen . Esto significa que, a diferencia de la mayoría de los ISP, no cancelarán a un cliente por enviar spam. Estas empresas de alojamiento operan como clientes de ISP más grandes, y muchas de ellas finalmente han sido desconectadas por estos ISP más grandes como resultado de quejas sobre actividad de spam. Por lo tanto, si bien una empresa puede anunciar un alojamiento a prueba de balas, en última instancia no puede cumplirlo sin la connivencia de su ISP ascendente. Sin embargo, algunos spammers han logrado obtener lo que se llama un contrato rosa (ver más abajo): un contrato con el ISP que les permite enviar spam sin ser desconectados.
Algunas empresas producen spamware o software diseñado para spammers. El spam varía ampliamente, pero puede incluir la capacidad de importar miles de direcciones, generar direcciones aleatorias, insertar encabezados fraudulentos en los mensajes, utilizar docenas o cientos de servidores de correo simultáneamente y utilizar retransmisiones abiertas. La venta de spamware es ilegal en ocho estados de EE.UU. [72] [73] [74]
Los llamados millones de CD se anuncian habitualmente en spam. Estos son CD-ROM que supuestamente contienen listas de direcciones de correo electrónico, para usarlas en el envío de spam a estas direcciones. Estas listas también se venden directamente en línea, frecuentemente con la falsa afirmación de que los propietarios de las direcciones enumeradas han solicitado (o "optado por") ser incluidas. Estas listas suelen contener direcciones no válidas. En los últimos años, estos han caído casi por completo en desuso debido a las direcciones de correo electrónico de baja calidad disponibles en ellos y porque algunas listas de correo electrónico superan los 20 GB de tamaño. La cantidad que cabe en un CD ya no es sustancial.
Varias listas negras de DNS (DNSBL), incluidas MAPS RBL, Spamhaus SBL, SORBS y SPEWS, se dirigen tanto a los proveedores de servicios de soporte de spam como a los spammers. Los DNSBL incluyen en la lista negra las IP o rangos de IP para persuadir a los ISP de que cancelen los servicios con clientes conocidos que son spammers o los revendan a spammers.
(2) LEY ESTATAL NO ESPECÍFICA DEL ~ZL ELECTRÓNICO.--Esta Ley no deberá interpretarse de manera que prevalezca la aplicabilidad de(A) leyes estatales que no sean específicas del correo electrónico, incluida la invasión estatal, contratos , o tot~ ley;
u (B) otras leyes estatales en la medida en que dichas leyes se relacionen con actos de fraude o delitos informáticos.
{{cite journal}}: Citar diario requiere |journal=( ayuda ){{cite journal}}: Citar diario requiere |journal=( ayuda ){{cite journal}}: Citar diario requiere |journal=( ayuda ){{cite web}}: CS1 maint: others (link){{cite journal}}: Cite Journal requiere |journal=( ayuda ). El enlace aquí es a un resumen de un documento técnico; Es necesario registrarse en la organización autora para obtener el documento técnico completo .Información no deseada
Informes de spam
Informes gubernamentales y libros blancos de la industria