Een mailbox gevuld met spam

Spam is een verzamelnaam voor ongewenste berichten en is ook bekend als Unsolicited Commercial E-mail en Unsolicited Bulk E-mail. Onder deze term vallen ongewenste e-mails en reclameboodschappen op websites (onder andere fora). Spam is moeilijk te definiëren. Niet ieder initiatief van een persoon of organisatie om contact te leggen is spam. Spam onderscheidt zich van andere vormen van commerciële communicatie, omdat een bericht wordt gestuurd aan een groep die veel groter is dan de potentiële doelgroep. Omdat deze afbakening te maken heeft met de proporties, zou je verwachten dat het moeilijk is om te bepalen of een bericht spam is. Vanwege de enorme schaal waarop spammers opereren is het in de meeste gevallen echter zeer duidelijk.

Kenmerken van spamberichten:

• Berichten worden in grote hoeveelheden verstuurd, naar duizenden mensen tegelijkertijd.


• Het spammen heeft een commercieel doel. Meestal bevatten de berichten daarom een verwijzing naar een product of website.


• De berichten worden verstuurd of geplaatst zonder toestemming of medeweten van de website, of de ontvanger.

De economische bestaansreden van spam is terug te vinden in de zeer lage kosten voor het versturen van e-mail of het plaatsen van een ongewenste reactie op een website. Een spammer kan rendabel miljoenen spamberichten versturen om slechts één product te verkopen. Het kost ongeveer 150 euro om 20 miljoen spamberichten te verzenden, dat zijn meer dan 100 000 spamberichten per euro.^[1] Er is wereldwijd een levendige handel in bestanden met vele miljoenen e-mailadressen.

De kosten worden evenwel verplaatst naar de ontvangers: tegenover een kleine groep geïnteresseerden staan zeer veel mensen die tijd verliezen met het verwijderen van berichten uit hun mailbox.

Ergernissen

Veel internetgebruikers ergeren zich aan spam. Het verwijderen van die berichten kost veel tijd. Wereldwijd veroorzaakt spam enorme schade, onder meer bij Internet Service Providers. De ergernis is onder Amerikanen wel enigszins afgenomen, zo constateert onderzoeksbureau Pew Research Center in 2007. Slechts 18 procent van de ondervraagden beschouwt spam als een groot probleem. In 2003 was dat nog 25 procent.^[bron?]

Geschiedenis

De eerste bekende spam werd verstuurd op 3 mei 1978. Het was een bericht van het toenmalige Digital Equipment Corporation (DEC, overgenomen door Compaq en nu een onderdeel van Hewlett-Packard). Marketingmedewerker Gary Thuerk stuurde een aankondiging van een 'open huis', naar aanleiding van de lancering van nieuwe modellen DEC-20-computers, naar iedereen op het toenmalige ARPANET aan de westkust van de Verenigde Staten.

Etymologie

Oorspronkelijk was spam de merknaam van een bepaald soort ingeblikt vlees dat nog steeds bestaat en dat in Nederland bekendstaat onder de naam Smac. De Britse komieken van Monty Python gebruikten het in een sketch om het toen actuele verbod op 'unsolicited advertising' (sluikreclame) op televisie aan de kaak te stellen. In een lunchroom waar aan alle gerechten ongevraagd spam werd toegevoegd, en waarin een groepje Vikingen uit volle borst zingt: "Spam spam spam spam. Lovely spam! Wonderful spam!", werd normale conversatie door de spam-zangers vrijwel onmogelijk gemaakt, net als bij ongevraagde e-mail. Ook bij de aftiteling werd te pas en te onpas het woordje "spam" vermeld. Monty Python liet daarmee zien dat de wellicht wenselijke restricties aan reclame-uitingen op gespannen voet staan met het recht op vrije meningsuiting. In de latere e-mail-spamdebatten deden e-mailmarketeers ook vaak een beroep op het recht op vrije meningsuiting.

Wikipedia spamfilter

Als tegenhanger van de bekende term spam wordt sinds kort in kleine kring de term ham gebruikt.^[bron?] Dit is de goede kwaliteit vlees als tegenhanger van de slechte kwaliteit van spam. Ham is alle e-mail die geen spam is. Het is niet noodzakelijkerwijs e-mail die de ontvanger wil ontvangen of waar de ontvanger om gevraagd heeft. Deze term wordt op dit moment in diverse spamfilterpakketten toegepast, veelal bij een techniek waarbij de ontvanger onderscheid kan maken tussen ham en spam om de filter zelflerend te maken.

SPAM is een geregistreerd handelsmerk van Hormel Foods Corporation, maar het woord spam is zo gebruikelijk geworden dat het niet langer door het merkenrecht beschermd wordt.

Maatregelen tegen spam

Politiek en spam

De politieke strijd voor het verbieden van spam wordt tegengewerkt door directmarketing-bedrijven, die een commercieel belang hebben bij het verzenden van reclame per e-mail. Langzaam maar zeker is ook bij deze beroepsgroep een omslag waar te nemen en groeit het besef dat alleen reclame die op verzoek van de ontvanger wordt toegestuurd (opt-in) aanvaardbaar is. Deze vorm van reclame is overigens gemakkelijk te vermijden doordat deze bedrijven hun afzenderadres niet verbergen. Men kan dus programmatuur installeren om op dit afzenderadres te filteren.

Inmiddels is een Europese richtlijn aangenomen die spam moet tegengaan: "Het gebruik van automatische oproepsystemen zonder menselijke tussenkomst (automatische oproepapparaten), fax of e-mail met het oog op direct marketing kan alleen worden toegestaan met betrekking tot abonnees die daarin vooraf hebben toegestemd." (richtlijn 2002/58/EG d.d. 12 juli 2002, artikel 13, lid 1). Ter implementatie van deze richtlijn in Nederlandse wetgeving is een ontwerpwetsvoorstel gereed. Dit is in februari 2011 voor advies aan de Raad van State voorgelegd. Daarin wordt een regeling getroffen die communicatie voor directmarketingdoeleinden via e-mail onderwerpt aan het opt-insysteem.

Ondertussen krijgt het spamprobleem weinig aandacht in de Nederlandse politiek. Bij de Tweede Kamer-verkiezingen van januari 2003 was op de website van slechts twee van de grote partijen iets over het thema spam te vinden:

• 
  GroenLinks "kiest voor opt-in en tegen spam"


• De SP wil dat Internet Service Providers "hun mailservers zo inrichten dat gebruikers zo veel mogelijk gevrijwaard blijven van ongevraagde commerciële e-mail ('spam') en e-mailbommen."

Over het spamstandpunt van CDA, VVD, PvdA, LPF en D66 was op de website niets te vinden.

Op 20 april 2004 nam de Eerste Kamer een wet aan die het versturen van spam binnen Nederland verbiedt. De wet was een initiatief van minister Brinkhorst van Economische Zaken en brengt de Nederlandse situatie in overeenstemming met een Europese richtlijn. Deze aanpassingen in de Telecommunicatiewet 1998 werden op 19 mei 2004 actief. OPTA zal zorgen voor de handhaving van de wet en mag boetes opleggen. Helaas komt de meeste spam uit het buitenland, waar de Nederlandse wet niet van toepassing is.

Een aantal anti-spamorganisaties, zoals Spamvrij.nl, vonden de wet niet ver genoeg gaan omdat deze alleen consumenten beschermt; aan bedrijven mag wel spam gestuurd worden. Daarnaast trokken ze de kwaliteiten van OPTA voor deze taak in twijfel.

In België is de Europese richtlijn inzake spam verwerkt in de wet van 15 december 2013. Het toezenden van ongewenste reclame is verboden.^[2]

OPTA-acties

Artikel 11.7 Telecommunicatiewet, door juristen aangeduid als het spamverbod, schrijft voor dat bedrijven slechts reclame mogen sturen als de klant hier zelf om heeft gevraagd (opt-in). Het mag niet zo zijn dat alleen middels een actie van de klant (bijvoorbeeld door het wegklikken van een al aangevinkt vierkantje) er geen reclame wordt toegestuurd. De klant moet via een actieve handeling (bijvoorbeeld het aanklikken van een nog niet aangevinkt vierkantje) zelf om het toezenden van de reclame vragen. Bestaande klanten die informatie ontvangen moeten kosteloos kunnen aangeven dat ze dit niet meer willen (opt-out). Ook moet de afzender duidelijk aangeven dat het bericht van hem komt. OPTA is bevoegd boetes op te leggen met een maximum van € 450 000.

Op 28 december 2004 legde de OPTA in Nederland de eerste boetes op aan de verzenders van spam, waaronder de hoogste 42 500 euro bedroeg aan iemand die vier verzendingen had uitgevoerd. Hij had onder andere spam verstuurd waarin werd opgeroepen medicijnen te kopen. Verder was het boek Mein Kampf aangeprezen met gebruik van de naam van spambestrijder Rejo Zenger.

Een ander bedrijf kreeg een boete van 25.000 euro opgelegd voor het verzenden van mail uit naam van 'Tekstbureau voor Marketingteksten'.

De Stichting Yellow Monday, die gebruikmaakte van de naam 'Purple Friday' kreeg een boete van 20.000 euro voor het versturen van spam per sms, waardoor de ontvanger zonder toestemming gegeven te hebben 1,10 euro per bericht moest betalen.

Samenwerking

Spam is een wereldwijd, grensoverschrijdend probleem. Dat heeft men door; binnen de grenzen van de Europese Unie wordt er al op meerdere vlakken samengewerkt door verschillende landen, waar het CNIL-protocol en de Telecommunicatiewet voorbeelden van zijn. Zo deelt men informatie over de locatie van spammers om deze vervolgens op te kunnen pakken. De samenwerking verloopt echter nog niet optimaal. Door grote verschillen in het vervolgen van spammers en de prioriteitenstelling van landen in de opsporing van spammers ontstaat er een gat in de spamdefensie binnen Europa. Samenwerking vanuit Europa met landen waarvandaan veel spam wordt verstuurd zoals de Verenigde Staten, Zuid-Korea, Rusland en China is er nauwelijks.

Technische maatregelen

Technische maatregelen tegen spam bestaan uit:

• 
  greylisting, een techniek om een bepaalde klasse servers te blokkeren;


• 
  blacklisting, het blokkeren van bekende servers van spammers; en


• het filteren van inkomende e-mail op domein-, mailserver- of mailboxniveau.

Spammers wapenen zich tegen deze maatregelen door zeer veel verschillende servers te gebruiken en door allerlei kenmerken van de e-mail te manipuleren. Het afzenderadres is vaak vervalst, zodat reageren op spam geen zin heeft. De ontvanger merkt dit vaak doordat hij op hetzelfde moment een aantal berichten ontvangt die vrijwel (meestal net niet helemaal) gelijkluidend zijn en die van verschillende afzenders afkomstig lijken te zijn.

Filteren van binnenkomende e-mail op spam

Bij het filteren op domeinniveau wordt alle e-mail al gefilterd voordat het op de mailserver van het domein aankomt. Dit zijn externe spamfilters die veel efficiënter zijn dan anti-spamsoftware op mailserver- of mailboxniveau. Het grote voordeel van een extern spamfilter is dat de spamdata de mailserver nooit bereikt en dat er geavanceerde externe filters bestaan die zelfs berichten met virussen, phishing en verdachte bijlages tegenhouden.

Opt out?

Wanneer een spambericht met een periodiek karakter de ontvanger de mogelijkheid biedt aan te geven dat hij het periodiek niet meer wil ontvangen, dan wordt gesproken van een opt-outsysteem. De afmeldmogelijkheid is in de praktijk echter onbetrouwbaar. Sommige spammers zien de afmelding als een bevestiging dat het e-mailadres actief gebruikt wordt, waardoor het op de adresmarkt in waarde stijgt en nog meer spam naar dat adres gestuurd zal worden.

Ontvangt u spam van een bekende afzender, bijvoorbeeld van een postorderbedrijf waar u weleens iets besteld heeft, dan is de afmeldmogelijkheid waarschijnlijk wel betrouwbaar. In de VS bestaat de can spam act, die de afzender verplicht bij een opt-out de opt-out binnen 10 dagen uit te voeren. Op niet-nakoming daarvan staan hoge geldboetes en gevangenisstraffen.

Het verbergen van e-mailadressen

Om iemand te kunnen spammen heeft men e-mailadressen nodig. Om deze te verkrijgen is er onder andere software beschikbaar die op fora en op websites gaat zoeken naar e-mailadressen.

Het is daarom niet wenselijk om een eigen e-mailadres in ongewijzigde vorm te publiceren via een bericht op usenet of op een website. Het is zeker aanbevolen hierbij grote voorzichtigheid in acht te nemen wanneer het gaat om adressen van derden, zodat deze personen niet onnodig veel spam zouden ontvangen.

Men kan toch zijn e-mailadres publiceren met een aanzienlijk lagere kans op spamming, en wel door het e-mailadres te vervormen. Als stelregel geldt hierbij dat hoe meer de tekst afwijkt van een e-mailadres, hoe kleiner de kans op spam wordt. Het is al lang niet voldoende meer "NOSPAM" in het e-mailadres te plaatsen, of het @-symbool te vervangen door "AT". Een aantal mogelijkheden:

• voornaam.naam@isp.VERWIJDER_DIT.com


• De eenvoudigste en bekendste wijze is het @-symbool vervangen door de letters AT (zelfde uitspraak, ander teken), of een andere benaming, of "(AT)", "*AT*", enz. Men hoopt dat iemand die 'voornaam.naam AT isp.com' ziet staan zal begrijpen dat het 'voornaam.naam@isp.com' is. Eventueel kan ook een afbeelding van een @-symbool gebruikt worden.


• het gebruik van JavaScript waarbij het e-mailadres in code verstopt wordt. Zo <SCRIPT TYPE="text/javascript"> document.write('naam@' + 'isp.com') </SCRIPT> (mits JavaScript aan staat) gelezen als naam@isp.com.

Gebruik altijd een adres dat niet zou kunnen bestaan, anders loopt u het risico anderen te duperen. De DNS-standaard schrijft hiertoe voor een adres te gebruiken dat op ".invalid" eindigt. De vraag is echter of goedwillende gebruikers zullen begrijpen dat dit deel van het adres moet worden verwijderd. Een mogelijke oplossing is een patroon als:

• naam@isp.com.verwijder.invalid

Bij al deze vervormde adressen moet worden aangetekend dat spammers er wellicht vroeg of laat toe over gaan de vervormingen automatisch te herkennen en te 'decoderen'. Het softwarematig herkennen en verwijderen van het woordje 'invalid' is wel heel eenvoudig.

Gebruik van BCC

Om e-mailadressen niet onnodig te verspreiden, wordt aangeraden om e-mails bestemd voor een grote hoeveelheid ontvangers aan zichzelf te adresseren en de eigenlijke ontvangers alleen in het BCC-veld op te nemen. Die ontvangen dan een zo genoemde blindkopie (BCC, blind carbon copy). De adressen in het BCC-veld zijn voor de ontvangers niet zichtbaar.

Veel mensen ontvangen kettingbrieven die ze aan zo veel mogelijk vrienden doorsturen. Daarbij vermelden ze niet alleen de adressen van alle geadresseerden, maar bovendien citeren ze het volledige bericht, inclusief de adressen van de vorige generaties. Een dergelijk bericht is een goudmijn voor een spammer.

Meer maatregelen om zelf spam te voorkomen of te bestrijden

Het is raadzaam om voorzichtig om te gaan met e-mailadressen, maar toch is het onmogelijk om vrij te blijven van spam.

Een spamfilter is daarvoor een van de technische mogelijkheden. Deze filters bestaan zowel voor e-mailprogramma's, zoals Outlook (Express) of Thunderbird, als voor mailservers. Tegenwoordig installeren veel providers spamfilters op hun servers.

Spamfilters zijn grofweg op te delen in 2 soorten. De eerste categorie probeert aan de hand van kenmerken spam te herkennen. Een bericht wordt gescand op die kenmerken en krijgt aan de hand daarvan een aantal punten. Als het aantal punten hoger ligt dan een bepaalde drempelwaarde zal het bericht als spam worden gemarkeerd en bijvoorbeeld alvast in de map verwijderde berichten worden gezet. Meestal kan de gebruiker zelf bepalen wat diegene met het bericht wil doen.
Mogelijke kenmerken zijn woordenlijsten met spamkernwoorden, maar ook het vaststellen of de e-mailadressen aan bepaalde regels voldoen. Tot slot wordt er vaak gebruikgemaakt van zwarte lijsten.

De tweede categorie kiest voor een statistische benadering (vaak Bayesiaans). Deze filters zijn zeer nauwkeurig en hebben een zeer klein aantal foutpositieven, maar moeten wel getraind worden. De gebruiker moet zelf honderden berichten verzamelen en aangeven of deze spam of ham (het tegenovergestelde van spam) zijn.

Moderne filters combineren vaak verschillende technieken.

Een spamfilter gooit zelden een bericht weg. Uit vrees voor een foutpositief worden de berichten op een of andere manier als spam gemarkeerd en naar de geadresseerde gestuurd. De overlast blijft dus.

Die markering bestaat soms uit een toevoeging aan de onderwerpregel. Blijkt het bericht geen spam te zijn en wilt u het beantwoorden, dan moet u deze toevoeging handmatig verwijderen. Sorteert uw mailprogramma de berichten op onderwerp, dan wordt deze sortering door een dergelijke toevoeging onmogelijk gemaakt.

Andere spamfilters voegen in de body van het bericht een melding toe, zoals "dit bericht is gecontroleerd en in orde bevonden". Dergelijke meldingen worden soms al door slimme spammers toegevoegd voordat ze het bericht versturen.

Ook een interessante manier van spambestrijding is het gebruik van de zogenaamde boxtrapper. Bij dit systeem wordt elke nieuwe afzender eenmalig verplicht om zijn/haar e-mailadres te verifiëren door het beantwoorden van een controle-e-mail of het bezoeken van een speciale webpagina. Doet een afzender dit niet, dan zal de mailserver alle post van de afzender weigeren. Omdat spammers vrijwel altijd gebruikmaken van een vals afzendadres, wordt vrijwel alle spam in de kiem gesmoord. Ondanks de bijna waterdichte werking worden boxtrappers nog weinig toegepast, voornamelijk omdat ze (vanuit het standpunt van de afzender) als gebruiksonvriendelijk te boek staan.

Nadeel van boxtrapping is dat het niet werkt bij automatisch ontvangen berichten. Het komt vaak voor dat men zijn gegevens op een website moet invoeren en dat de website ter controle een e-mail stuurt waarop u moet reageren. Een dergelijk bericht wordt door de boxtrapper geblokkeerd, en het controlebericht, dat naar de afzender gaat, wordt niet gelezen.

Verder leert de praktijk dat veel mensen wel een e-mail kunnen versturen, maar niet weten te reageren op het controlebericht, bijvoorbeeld omdat het in het Engels is gesteld. De kans is trouwens niet denkbeeldig dat het controlebericht zelf door een spamfilter wordt opgevangen.

Als iemand met een boxtrapper zelf een bericht stuurt naar iemand die ook een boxtrapper gebruikt, dan resulteert dat in eindeloos heen-en-weer sturen van controle-e-mails tussen de boxtrappers.

Een andere ontwikkeling is ingezet door Yahoo!. Dit internetbedrijf heeft een techniek ontwikkeld genaamd domain keys. Deze techniek is strikt genomen geen antispammethode, maar een manier om te kunnen verifiëren of de afzender inderdaad de afzender is. Op het moment dat er voldoende gebruikers zijn is dat een goede discriminerende factor tegen spam, omdat spammers vaak gebruikmaken van valse e-mailadressen.

Er bestaan commerciële websites om wenskaarten te versturen. Ze zijn populair met verjaardagen en in de tijd van Kerstmis. De verzender typt zijn eigen e-mailadres en het adres van zijn vrienden op de website. Zodoende springt hij niet alleen met zijn eigen adres, maar ook met het adres van anderen onzorgvuldig om. De ontvanger krijgt een e-mail met de boodschap dat hij de wenskaart op de website van de exploitant kan vinden. Klikt hij daarop om de webpagina te openen, dan weet de exploitant van de website dat het e-mailadres geldig is. Het advies is dus: gebruik geen website om iemand gelukwensen te sturen en als je zo'n gelukwens ontvangt, bedwing dan je nieuwsgierigheid en open de webpagina niet.

Om spam via e-mail te voorkomen worden ook wegwerp-e-mailadressen gebruikt.

Het is raadzaam om bij het bestrijden van spam een actieve houding aan te nemen en de spamberichten die u ontvangt te rapporteren bij diverse onlinediensten zoals SpamCop. Dit heeft een aantal voordelen, het helpt onder andere om spamfilters en blocklijsten up-to-date te houden waar anderen weer van kunnen profiteren doordat hetzelfde spambericht op dat moment bekend is en gefilterd kan worden. Daarnaast zullen spammers merken dat berichten die naar uw adres gestuurd worden gerapporteerd worden en zullen ze voortaan uw e-mailadres vermijden, waardoor de hoeveelheid spam in uw mailbox afneemt.

Nieuwe vormen van spam

Recent lijkt er een evolutie ingezet waarin spam niet enkel voorkomt in e-mails (of nieuwsgroepen), maar in verscheidene internettoepassingen, waaronder het web. Een populair doelwit lijken internetfora te zijn. Naast het gewoonlijke doel van spam om ongevraagd reclame te maken, heeft spam op het web vaak een extra doel: doordat de spam op veel websites gekopieerd wordt, verwijzen er veel links naar de website van de spammer, waardoor deze website in de rankings van zoekmachines stijgt, zie ook Googlebom.

Spammen op het web is omslachtiger dan via e-mail (of in nieuwsgroepen). Om spam via e-mail te versturen volstaat het de e-mailadressen van de slachtoffers te kennen. Om op het web te kunnen spammen, dient men naast de websites van de slachtoffers ook een bug op de website te kennen zodat men spam op de website kan toevoegen.

Een werkwijze die gevolgd wordt om op het web te spammen is dat men met een bot een zoekmachine scant naar een populair computerprogramma met een bekende bug. Als de bot een website met het programma gevonden heeft, exploiteert de bot de bug.

Een veelvoorkomend voorbeeld is dat nieuwe gebruikers op internetfora aangemaakt worden en dat deze gebruikers een spambericht in hun handtekening hebben en/of een spambericht op het forum posten. Doorgaans blijven er meer spamberichten achter naarmate het minder duidelijk is dat het om spam gaat.

Een voorbeeld van een dergelijke onduidelijke spam die veel (nietszeggende) berichten heeft nagelaten is de aanmaak van de gebruiker "Ninel2006aZ" op talloze phpBB-internetfora. Deze spam lijkt begonnen te zijn op 2 augustus 2006. De bot lijkt op zoek te zijn gegaan naar websites die een al dan niet gemodificeerde versie van het phpBB-internetforum hosten met de zoekstring "options html is off bbcode is on smilies are on" in een of andere zoekmachine. Op 13 augustus 2006, 6 uur 10 CET geeft de zoekstring "Ninel2006aZ" 324000 resultaten in Google terwijl de zoekstring "Ninel2006aZ PHPBB" 267000 resultaten weergeeft.

Dit voorbeeld lijkt een gecoördineerde aanval op het PHPBB te zijn geweest, waarbij er gedurende 10 dagen ongeveer 20 nieuwe accounts per minuut op verschillende phpBB-fora werden aangemaakt. Deze aanval ging gepaard met andere aanvallen op de PHPBB-fora, maar andere aanvallen zijn doorgaans duidelijker spam en veroorzaken ook minder blijvende Google-hits. Het grote aantal hits (in een zoekmachine) van dit voorbeeld illustreert de impact van een nieuw fenomeen van "www-spammen".

Sterk in opkomst is aandelenspam, waarin gebruikers worden aangemoedigd om een bepaald aandeel te kopen, zodat de koers stijgt. De verzender van de spam heeft vooraf al een grote hoeveelheid van dat fonds ingeslagen.

Zie ook

• CAN-SPAM Act of 2003


• 
  DNSBL - een systeem waarbij mailservers die een bron van spam zijn of kunnen zijn in een blacklist plaatsen


• 
  E-mailmarketing is een verzamelnaam voor zowel spam als andere commerciële boodschappen.


• Shell account


• Spambot


• Spamkoning


• 
  Spim (ongewenste berichten via instant messaging), scam en phishing (oplichting, of poging tot oplichting via e-mail).

Externe links

• Het officiële aangifteloket van E-cops (België): ecops.be
  


• Het officiële aangifteloket van OPTA (Nederland): spamklacht.nl
  

Wikibooks heeft meer over dit onderwerp: Cursus veilig op het internet: spam.

Zie de categorie Electronic spam van Wikimedia Commons voor mediabestanden over dit onderwerp.