Artillería pesada contra el "spam"

Artillería pesada contra el "spam"
	VSantivirus No. 984 - Año 7 - Martes 18 de marzo de 2003 Artillería pesada contra el "spam" http://www.vsantivirus.com/mm-spam.htm Técnicos y gobiernos sacan la artillería pesada contra el "spam" Por Mercè Molist () colaboradores@videosoft.net.uy El correo comercial no deseado ha subido en un año del 8 al 40% del total de mensajes recibidos por los internautas "Todo el sistema de correo de Internet está bajo un bombardeo constante, un ataque de Denegación de Servicio en toda regla", denunció Barry Shein, presidente de "The World", un pionero proveedor norteamericano, durante la primera "Conferencia sobre el spam", celebrada en Cambridge. De los 15 asistentes esperados, se llegó a más de 500 y es que los técnicos, como los usuarios, están hartos. Tanto, que la mayoría no duda en pedir ayuda a los gobiernos. Algunos le sacan la puntilla. Como los creadores de "SpamWars", un juego que invita a "luchar contra el demonio que quiere 'espamearte' hasta la muerte". No van errados: desde 1978, cuando DEC envió el primer correo comercial no solicitado a ArpaNet, el volumen de "correo basura" o "spam" ha crecido hasta ser la queja número uno de los internautas. Y un problema de seguridad peor que los virus: saturación de redes, abuso de servicios, fraudes, daños a la privacidad e, incluso, instalación de programas sin permiso a usuarios de Microsoft. A finales de enero llegaba al colmo: el registrador de dominios británicos tenía que suspender ocho horas su servicio "whois", de identificación de dueños de dominios, por el ataque de unos "spammers" que querían robar su base de datos. En un comunicado, Nominet UK afirmaba: "Alguien muy persistente ha intentado conseguir una copia detallada del registro .uk. El ataque consiste en hacer preguntas sistemáticamente al servidor "whois", desde cientos de servidores". La misma treta se ha usado contra Hotmail y otros proveedores de correo gratuito. Más leyes* ¿Podría una ley transnacional ser un buen método anti-spam? Se preguntan cada vez más técnicos. En los Estados Unidos, la Federal Trade Commission ha empezado a investigar a "spammers" y algunas compañías han ganado juicios contra éstos, como America Online o el Ministerio de Justicia de Nueva York. Aunque la mayoría de estados tiene legislación "anti-spam", el Senado ultima el borrador de una ley nacional que obligará a consignar "ADV" en los envíos comerciales, después que la Direct Marketing Association, que hasta ahora se negaba, esté de acuerdo. En Europa, una directiva del año pasado mantiene el correo basura fuera de la ley: sólo se puede enviar a personas que lo consientan (sistema "opt-in"). Lo mismo dice la española Ley de Servicios de la Sociedad de la Información (LSSI). Según el Ministerio de Ciencia y Tecnología, el "spam" en España puede denunciarse "contactando con una asociación de consumidores o con la Secretaría de Telecomunicaciones, por correo, teléfono o usando el formulario de la sección "Consultas" de www.lssi.es". La Asociación de Usuarios de Internet acaba de poner en marcha la "I Campaña contra el correo no solicitado", con la colaboración de grandes compañías como Telefónica o Wanadoo e instituciones como el Ministerio de Ciencia y Tecnología, que formarán un grupo de trabajo para dirimir el problema. Además, en su web, la Asociación ofrece consejos, una completa guía de denuncia y una idea: que la administración facilite cuentas de correo gratuitas sometidas a controles de calidad. Pero un reciente estudio de la Asociación de Internautas concluye: "A pesar de la LSSI, el problema del "spam" dista mucho de estar resuelto en España, porque el 75% viene de fuera de la Unión Europea. Otro problema son los datos personales. En ningún caso se hace constar su origen o cómo acceder a ellos. Además, la empresa remitente no se identifica en forma legal". Precisamente, la Agencia de Protección de Datos abría en octubre del año pasado un expediente sancionador a "Guía de Empresas Internet", por mandar "spam" a direcciones de empresas, procedentes de una base de datos de pago. "180.000 mails de España, 650.000 mails Resto del Mundo, 15.000.000 mails de Estados Unidos. Incluye el mejor programa de envío de publicidad, con instrucciones para que no lo detecte su servidor. Costo total: 100 dólares", anuncian los vendedores de estos directorios, en un típico "spam". Rob West, autor del "Spamdemic Map", que documenta gráficamente los saltos entre bases de datos que siguen las direcciones de correo, asegura: "Se han convertido en divisa de un juego financiero que mueve rápidamente bases de datos con información de consumidores". Primero, se recolectan las direcciones en páginas web y foros públicos. Después, se venden a compañías de "marketing", que pagan un tanto (desde unos céntimos a un euro) por cada nombre. Estas listas pueden venderse después a compañías legítimas, que creen estar comprando direcciones de consumidores que han dado su consentimiento. El "spam" ilegal se envía desde direcciones falsas, robando el ancho de banda de proveedores que tienen inadvertidamente abierto el puerto de envío de su servidor de correo. Las redes inalámbricas, en su mayoría desprotegidas, son también usadas por los "spammers". Cruzada técnica Recientemente, Scott Fahlman, conocido por haber usado el primer emoticón, proponía cobrar por recibir "spam", aunque para ello se necesitarían nuevos programas. Una idea parecida, que ya está en uso pero sin dinero, es el "filtrado inverso" o "listas blancas": el servidor de correo no deja entrar ningún mensaje que no esté en una lista aprobada por el usuario. Si alguien nuevo envía una carta, se le responde con instrucciones para entrar en la lista blanca. Pero el arma más frecuente, a nivel de grandes sistemas, son las "listas negras", que bloquean la entrada a mensajes de proveedores que envían "spam". En España, la red académica RedIRIS está haciendo pruebas piloto con un sistema propio de lista negra, la Plataforma Unificada AntiSpam, que permite a la comunidad rechazar correo basura de forma unida y con una política común. Algunos técnicos de proveedores españoles han mostrado, en el foro "Abuso en el Correo Electrónico", su disposición a crear una plataforma parecida. "Lo más importante de PUAS es que, a diferencia de otras listas negras, es la comunidad académica quien bloquea las direcciones que han enviado "spam" y quien decide las penalizaciones temporales: primero, 2 horas; si vuelve a reincidir, un día, y así sucesivamente. Los usuarios envían el "spam" que reciben a la central de RedIRIS, que analiza cabeceras y contabiliza: número de denuncias, número de universidades afectadas y veces que ya ha estado en la base de datos. El resultado final se refleja en el servidor que chequea el correo entrante de cualquier universidad", explica su promotor, Jesús Sanz de las Heras. Pero, en el último año, han crecido las críticas contra las listas negras: Philip Jacob, en su estudio "The Spam Problem", denuncia que bloquean de forma demasiado general, lo que afecta a usuarios legítimos del proveedor denunciado: "Un buen número de "spam" se envía a través de servidores inseguros de Asia y Sudamérica, por lo que se filtran. Algunos administradores están cerrando completamente el correo que viene de Corea o China. Y esto lleva a nada más que discriminación. Es antidemocrático que una compañía no pueda comunicarse a través de su ISP con otra en Estados Unidos o Europa". Además, según Jacob, el proveedor que usa listas negras no informa a los usuarios: "¿Qué pasaría si una misteriosa organización estuviese al otro lado de tu compañía telefónica y bloquease llamadas hacia ti, basándose en unos criterios que no puedes controlar?". Por eso, se tiende a nuevas herramientas, como los escáners de contenido, que filtran a partir de lo que dice el mensaje, o los Sistemas de Notificación Distribuida, donde los usuarios envían los "spam" recibidos a una base de datos central. Aunque son muy fiables, no sirven para los "webmails" ni para los proveedores: sólo funcionan en el cliente de correo del usuario. De esta segunda generación de programas se habló en la primera "Conferencia sobre el Spam", celebrada a mediados de enero en el Massachusetts Institute of Technology y auspiciada por Paul Graham, promotor del uso de inteligencia artificial en la lucha contra el correo basura. Legendarios hackers como Eric S. Raymond o John Draper estuvieron allí. También Matt Sergeant, codesarrollador del popular programa libre "SpamAssassin"; o Jon Praed, del Internet Law Group, quien dudó que sólo con leyes se solucione el problema. Praed recomendó que si se recibe correo basura citando una marca comercial, como Viagra, se reenvíe a la compañía, quien lo investigará. Aunque hay otros que prefieren la venganza directa: recientemente, el norteamericano Alan Ralsky denunciaba una conspiración para cubrirlo de correo basura: "Me han apuntado a todas las campañas publicitarias y listas de correo que existen". Ralsky se ha hecho rico enviando miles de millones de "spam" al día, según una nota aparecida en el weblog "Slashdot", que desató la ira de los lectores. Alguien posteó entonces las direcciones de correo y física de Ralsky y el rey del "spam" fue "espameado". Y ahora, "spam político" El profesor Mikls Sksd vivió las últimas elecciones en Hungría con sorpresa y molestia: "En un país de diez millones de población, donde el 53% tiene teléfono móvil y el 15%, Internet, los partidos enviaron millones de mensajes SMS, el tráfico diario se incrementó un 20-30%. Durante dos semanas, el 'spam' político fue una experiencia diaria". Para las elecciones en Bélgica, el gobierno ha aprobado también este medio de propaganda. Aunque pocas muestras se han dado en la Internet española, en Estados Unidos el "spam político" ya es un viejo conocido, que no entra en las leyes porque no es comercial y algunos defienden como libertad de expresión. El senador demócrata Joseph Liberman es la última bestia negra: para anunciar su carrera a la presidencia de EEUU, envió un discurso a miles de internautas, a través del servicio de correo basura de pago ConstantConctact. Liberman es el primer candidato a presidente de los Estados Unidos que recurre al "spam", pero ha habido más políticos antes que él. Demócratas y republicanos usan Internet como medio de propaganda, un suplemento barato a las campañas de televisión, prensa y radio. El año pasado, Bill Jones, candidato a gobernador de California, era noticia por enviar correo no deseado a miles de direcciones electrónicas, algunas de gente no residente en California ni tan sólo Estados Unidos. La última modalidad es el "spam" militar: a mediados de enero, el Ministerio de Defensa británico enviaba 100.000 mensajes a empresas, para avisarlas de una posible movilización de sus empleados reservistas. Muchas no tenían trabajadores en la reserva y recibieron la carta con disgusto. El Ministerio sólo aclaró que había comprado la base de datos a una empresa externa. Cifras Hace dos años, el 50% de los internautas norteamericanos consideraban el "spam" como "muy molesto". Hoy, son el 80%, según una encuesta de Harris Interactive. Y el 74% quiere ilegalizarlo. Sólo el año pasado, se enviaron en todo el mundo unos 140 mil millones de correos basura, que crecen y crecen así como los estudios que muestran su dimensión. Según Meta Grop, en algunas organizaciones, el 40% del tráfico de correo es basura y sobrepasará en julio al correo legítimo. Symantec también ha indagado, sabiendo que los productos "anti-spam" empiezan a ser buen negocio y, pronto, tan imprescindibles como un antivirus: el 37% de los encuestados recibía más de cien correos basura al día. Al 67% le molestaba mucho. El 77% con hijos temía por ellos. En catorce meses, el "spam" ha subido del 8% del total de correo al 41%, afirma Bright Mail Inc. Según esta empresa, un "spammer" puede cobrar 1.500 euros por mandar un millón de mensajes, "lo que significa mil posibles clientes a 1,50 euros por cabeza. Estas personas suelen residir en Estados Unidos, pero usan servidores inseguros de Asia o Sudamérica para mandarlos". EMarketer cifra el coste medio de un "spam", para quien lo envía, en 0,00032 céntimos. Las empresas, que hasta ahora lo veían como una pequeña molestia, empiezan a preocuparse. Según Symantec, el 65% de internautas gasta cada día diez minutos para eliminar el correo basura. El 24%, veinte minutos. CloudMark Inc calcula que recibir diez "spam" diarios por empleado puede costar 86 euros anuales a una compañía, sólo en tiempo perdido. Ferris Research asegura que las empresas norteamericanas pierden anualmente 8,6 mil millones de dólares por culpa del "spam". Las europeas, 2,5 mil millones. Según sus cálculos, se invierten 4,4 segundos en abrir un mensaje, factor que debe añadirse a los gastos en ancho de banda, seguridad y servidores más potentes para soportarlo. Para ilustrar chiste userfriendly http://ars.userfriendly.org/cartoons/?id=20000728 Denuncias Agencia de Protección de Datos https://www.agenciaprotecciondatos.org/datb.htm Secretaría de Estado de Telecomunicaciones http://www.setsi.mcyt.es/reclamaciones/reclamaciones.htm Guía Asociación de Usuarios de Internet http://aui.es/consultas/quejas.htm Enlaces SpamWars Game http://www.elated.com/spamwars Spam Conference http://spamconference.org "The spam problem" http://theory.whirlycott.com/~phil/antispam/rbl-bad/rbl-bad.html "A plan for spam" http://www.paulgraham.com/spam.html Spamdemic Map http://www.cluelessmailers.org/spamdemic/mapfullsize.html EuroCAUCE http://www.euro.cauce.org/en/index.html Abuse.net http://www.abuse.net SpamFAQ http://www.spamfaq.net SpamArchive http://www.spamarchive.org Spamhaus Project http://www.spamhaus.org SpamAssassin http://www.spamassassin.org Spam Laws http://www.spamlaws.com "Cómo anunciarse correctamente en Internet" http://www.ietf.org/internet-drafts/draft-ietf-run-adverts-01.txt RedIRIS sobre "listas negras" http://www.rediris.es/mail/abuso/apoyoln.es.html I Campaña contra el correo no solicitado http://aui.es/contraelspam Directiva europea sobre el "spam" http://aui.es/contraelspam/directiva_ue.htm Informe Asociación de Internautas http://www.internautas.org/article.php?sid=738 LSSI http://www.lssi.es (*) Copyright (C) 2003 Mercè Molist. Verbatim copying and distribution of this entire article is permitted in any medium, provided this notice is preserved. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com