Een mailbox gevuld met spam

Spam is een verzamelnaam voor ongewenste berichten. Onder deze term vallen ongewenste e-mails en reclameboodschappen op websites (onder andere fora). Spam is moeilijk te definiëren. Niet ieder initiatief van een persoon of organisatie om contact te leggen is spam. Spam onderscheidt zich van andere vormen van commerciële communicatie, omdat een bericht wordt gestuurd aan een groep die veel groter is dan de potentiële doelgroep. Omdat deze afbakening te maken heeft met de proporties, zou je verwachten dat het moeilijk is om te bepalen of een bericht spam is. Vanwege de enorme schaal waarop spammers opereren is het in de meeste gevallen echter zeer duidelijk.

Kenmerken van spamberichten:

• Berichten worden in grote hoeveelheden verstuurd, naar duizenden mensen tegelijkertijd.
• De berichten worden verstuurd of geplaatst zonder toestemming of medeweten van de website, of de ontvanger.

De economische bestaansreden van spam is terug te vinden in de zeer lage kosten voor het versturen van e-mail of het plaatsen van een ongewenste reactie op een website. Een spammer kan rendabel miljoenen spamberichten versturen om slechts één product te verkopen. Het kost ongeveer 150 euro om 20 miljoen spamberichten te verzenden, dat zijn meer dan 100.000 spamberichten per euro.^[1] Er is wereldwijd een levendige handel in bestanden met vele miljoenen e-mailadressen.

De kosten worden evenwel verplaatst naar de ontvangers: tegenover een kleine groep geïnteresseerden staan zeer veel mensen die tijd verliezen met het verwijderen van berichten uit hun mailbox.

Ergernissen

Veel internetgebruikers ergeren zich aan spam. Het verwijderen van die berichten kost veel tijd. Wereldwijd veroorzaakt spam enorme schade, onder meer bij internetproviders.

Geschiedenis

De eerste bekende spam werd verstuurd op 3 mei 1978. Het was een bericht van het toenmalige Digital Equipment Corporation (DEC, overgenomen door Compaq en nu een onderdeel van Hewlett-Packard). Marketingmedewerker Gary Thuerk stuurde een aankondiging van een 'open huis', naar aanleiding van de lancering van nieuwe modellen DEC-20-computers, naar iedereen op het toenmalige ARPANET aan de westkust van de Verenigde Staten.

Etymologie

Oorspronkelijk is spam de merknaam van een bepaald soort ingeblikt vlees dat nog steeds bestaat en dat lijkt op wat in Nederland bekendstaat onder de naam Smac. De Britse komieken van Monty Python gebruikten het in een sketch. In een lunchroom waar aan alle gerechten ongevraagd spam werd toegevoegd en waarin een groepje Vikingen uit volle borst zingt: "Spam spam spam spam. Lovely spam! Wonderful spam!", werd normale conversatie door de spam-zangers vrijwel onmogelijk gemaakt, net als bij ongevraagde e-mail. Ook bij de aftiteling werd te pas en te onpas het woordje "spam" vermeld.

Wikipedia spamfilter

Als tegenhanger van de bekende term spam wordt wel de term ham gebruikt. Dit is dan de 'goede kwaliteit' vlees als tegenhanger van de 'slechte kwaliteit' van spam. Ham is alle e-mail die geen spam is. Het is niet noodzakelijkerwijs e-mail die de ontvanger wil ontvangen of waar de ontvanger om gevraagd heeft. Deze term wordt op dit moment in diverse spamfilterpakketten toegepast, veelal bij een techniek waarbij de ontvanger onderscheid kan maken tussen ham en spam om de filter zelflerend te maken.

Maatregelen tegen spam

Wettelijke verboden

Inmiddels is een Europese richtlijn aangenomen die spam moet tegengaan: "Het gebruik van automatische oproepsystemen zonder menselijke tussenkomst (automatische oproepapparaten), fax of e-mail met het oog op direct marketing kan alleen worden toegestaan met betrekking tot abonnees die daarin vooraf hebben toegestemd." (richtlijn 2002/58/EG d.d. 12 juli 2002, artikel 13, lid 1).

Nederland

Ter implementatie van deze richtlijn in Nederlandse wetgeving is een ontwerpwetsvoorstel gereed. Dit is in februari 2011 voor advies aan de Raad van State voorgelegd. Daarin wordt een regeling getroffen die communicatie voor directmarketingdoeleinden via e-mail onderwerpt aan het opt-insysteem.

Op 20 april 2004 nam de Eerste Kamer een wet aan die het versturen van spam binnen Nederland verbiedt. De wet was een initiatief van minister Brinkhorst van Economische Zaken en brengt de Nederlandse situatie in overeenstemming met een Europese richtlijn. Deze aanpassingen in de Telecommunicatiewet 1998 werden op 19 mei 2004 actief. OPTA kreeg de taak de wet te handhaven en mocht boetes opleggen. De meeste spam komt echter uit het buitenland, waar de Nederlandse wet niet van toepassing is.

Een aantal anti-spamorganisaties, zoals Spamvrij.nl, vonden de wet niet ver genoeg gaan, omdat deze alleen consumenten beschermt; aan bedrijven mag wel spam gestuurd worden. Daarnaast trokken ze de kwaliteiten van OPTA voor deze taak in twijfel.

Acties van OPTA

Artikel 11.7 van de Telecommunicatiewet, door juristen aangeduid als het "spamverbod", schrijft voor dat bedrijven slechts reclame mogen sturen als de klant hier zelf om heeft gevraagd (opt-in). Het mag niet zo zijn dat alleen middels een actie van de klant (bijvoorbeeld door het wegklikken van een al aangevinkt vierkantje) er geen reclame wordt toegestuurd. De klant moet via een actieve handeling (bijvoorbeeld het aanklikken van een nog niet aangevinkt vierkantje) zelf om het toezenden van de reclame vragen. Bestaande klanten die informatie ontvangen moeten kosteloos kunnen aangeven dat ze dit niet meer willen (opt-out). Ook moet de afzender duidelijk aangeven dat het bericht van hem komt. OPTA is bevoegd boetes op te leggen met een maximum van € 450.000.

Op 28 december 2004 legde de OPTA in Nederland de eerste boetes op aan de verzenders van spam. De hoogste hiervan was een boete van € 42.500 voor iemand die vier verzendingen had uitgevoerd. Hij had onder andere spam verstuurd waarin werd opgeroepen medicijnen te kopen. Verder was het boek Mein Kampf aangeprezen met gebruik van de naam van spambestrijder Rejo Zenger.

Een ander bedrijf kreeg een boete van € 25.000 opgelegd voor het verzenden van mail uit naam van 'Tekstbureau voor Marketingteksten'.

De Stichting Yellow Monday, die gebruikmaakte van de naam Purple Friday kreeg een boete van € 20.000 voor het versturen van spam per sms, waardoor de ontvanger zonder toestemming gegeven te hebben € 1,10 per bericht moest betalen.

België

In België is de Europese richtlijn inzake spam verwerkt in de wet van 15 december 2013. Het toezenden van ongewenste reclame is verboden.^[2]

Internationale samenwerking

Spam is een wereldwijd, grensoverschrijdend verschijnsel. Binnen de grenzen van de Europese Unie wordt er al op meerdere vlakken samengewerkt door verschillende landen, waar het CNIL-protocol en de Telecommunicatiewet voorbeelden van zijn. Zo deelt men informatie over de locatie van spammers om deze vervolgens op te kunnen pakken. Door grote verschillen in het vervolgen van spammers en de prioriteitenstelling van landen in de opsporing van spammers ontstaat er echter een gat in de spamdefensie binnen de Europese Unie. Samenwerking vanuit de EU met landen waarvandaan veel spam wordt verstuurd zoals de Verenigde Staten, Zuid-Korea, Rusland en China is er nauwelijks.

Technische maatregelen

Technische maatregelen tegen spam bestaan uit:

• greylisting, een techniek om een bepaalde klasse servers te blokkeren;
• blacklisting, het blokkeren van bekende servers van spammers;
• het filteren van inkomende e-mail op domein-, mailserver- of mailboxniveau.

Spammers wapenen zich tegen deze maatregelen door zeer veel verschillende servers te gebruiken en door allerlei kenmerken van de e-mail te manipuleren. Het afzenderadres is vaak vervalst, zodat reageren op spam geen zin heeft.

Filteren van binnenkomende e-mail op spam

Bij het filteren op domeinniveau wordt alle e-mail al gefilterd voordat het op de mailserver van het domein aankomt. Dit zijn externe spamfilters die veel efficiënter zijn dan anti-spamsoftware op mailserver- of mailboxniveau. Het grote voordeel van een externe spamfilter is dat de spamdata de mailserver nooit bereikt en dat er geavanceerde externe filters bestaan die zelfs berichten met virussen, phishing en verdachte bijlages tegenhouden.

Opt-out

Wanneer een spambericht met een periodiek karakter de ontvanger de mogelijkheid biedt aan te geven dat hij het periodiek niet meer wil ontvangen, dan wordt gesproken van een opt-outsysteem. De afmeldmogelijkheid is in de praktijk echter onbetrouwbaar. Sommige spammers gebruiken de afmelding als een bevestiging dat het e-mailadres actief gebruikt wordt, waardoor het op de adresmarkt in waarde stijgt en nog meer spam naar dat adres gestuurd zal worden.

Bij ontvangen van spam van een bekende afzender, bijvoorbeeld van een postorderbedrijf waar wel eens iets besteld is, is de afmeldmogelijkheid waarschijnlijk wel betrouwbaar. In de Verenigde Staten bestaat de CAN-SPAM Act, een wet die de afzender verplicht bij een opt-out de opt-out binnen 10 dagen uit te voeren. Op het niet nakomen daarvan staan hoge geldboetes en gevangenisstraffen.

Het verbergen van e-mailadressen

Om iemand te kunnen spammen zijn er e-mailadressen nodig. Om deze te verkrijgen is er onder andere software beschikbaar die op internetfora en op websites zoekt naar e-mailadressen.

Men kan een e-mailadres publiceren met een aanzienlijk lagere kans op spamming door het e-mailadres te vervormen. Als stelregel geldt hierbij dat hoe meer de tekst afwijkt van een e-mailadres, hoe kleiner de kans op spam. Het is al lang niet voldoende meer "NOSPAM" in het e-mailadres te plaatsen, of het @-symbool te vervangen door "AT". Een aantal mogelijkheden:

• voornaam.naam@isp.VERWIJDER_DIT.com
• De eenvoudigste en bekendste wijze is het @-symbool vervangen door de letters AT (zelfde uitspraak, ander teken), of een andere benaming, of "(AT)", "*AT*", enz. Men hoopt dat een mens die 'voornaam.naam AT isp.com' ziet staan zal begrijpen dat het 'voornaam.naam@isp.com' is. Eventueel kan ook een afbeelding van een @-symbool gebruikt worden.
• het gebruik van JavaScript waarbij het e-mailadres in code verstopt wordt. Zo <SCRIPT TYPE="text/javascript"> document.write('naam@' + 'isp.com') </SCRIPT> (mits JavaScript aan staat) gelezen als naam@isp.com.

De DNS-standaard schrijft voor om een adres te gebruiken dat op ".invalid" eindigt. De vraag is echter of goedwillende gebruikers zullen begrijpen dat dit deel van het adres moet worden verwijderd. Een mogelijke oplossing is een patroon als: naam@isp.com.verwijder.invalid'. Spammers zullen er wellicht vroeg of laat toe over gaan de vervormingen automatisch te herkennen en te 'decoderen'. Het softwarematig herkennen en verwijderen van het woordje 'invalid' is wel heel eenvoudig.

Gebruik van BCC

Om e-mailadressen niet onnodig te verspreiden, wordt aangeraden om e-mails bestemd voor een grote hoeveelheid ontvangers aan zichzelf te adresseren en de eigenlijke ontvangers alleen in het BCC-veld op te nemen. Die ontvangen dan een zo genoemde blindkopie (BCC, blind carbon copy). De adressen in het BCC-veld zijn voor de ontvangers niet zichtbaar.

Veel mensen ontvangen kettingbrieven die ze aan zo veel mogelijk vrienden doorsturen. Daarbij vermelden ze niet alleen de adressen van alle geadresseerden, maar bovendien citeren ze het volledige bericht, inclusief de adressen van de vorige generaties. Een dergelijk bericht is een goudmijn voor een spammer.

Meer maatregelen om zelf spam te voorkomen of te bestrijden

Het is raadzaam om voorzichtig om te gaan met e-mailadressen, maar toch is het onmogelijk om vrij te blijven van spam.

Een spamfilter is daarvoor een van de technische mogelijkheden. Deze filters bestaan zowel voor e-mailprogramma's, zoals Microsoft Outlook of Mozilla Thunderbird, als voor mailservers. Tegenwoordig installeren veel providers spamfilters op hun servers.

Spamfilters zijn grofweg op te delen in 2 soorten. De eerste categorie probeert aan de hand van kenmerken spam te herkennen. Een bericht wordt gescand op die kenmerken en krijgt aan de hand daarvan een aantal punten. Als het aantal punten hoger ligt dan een bepaalde drempelwaarde zal het bericht als spam worden gemarkeerd en bijvoorbeeld alvast in de map verwijderde berichten worden gezet. Meestal kan de gebruiker zelf bepalen wat diegene met het bericht wil doen. Mogelijke kenmerken zijn woordenlijsten met spamkernwoorden, maar ook het vaststellen of de e-mailadressen aan bepaalde regels voldoen. Tot slot wordt er vaak gebruikgemaakt van zwarte lijsten.

De tweede categorie kiest voor een statistische benadering (vaak Bayesiaans). Deze filters zijn zeer nauwkeurig en hebben een zeer klein aantal foutpositieven, maar moeten wel getraind worden. De gebruiker moet zelf honderden berichten verzamelen en aangeven of deze wel of geen spam zijn.

Moderne filters combineren vaak verschillende technieken.

Een spamfilter gooit zelden een bericht weg. Uit vrees voor een foutpositief worden de berichten op een of andere manier als spam gemarkeerd en naar de geadresseerde gestuurd.

Die markering bestaat soms uit een toevoeging aan de onderwerpregel. Blijkt het bericht geen spam te zijn en wilt u het beantwoorden, dan moet u deze toevoeging handmatig verwijderen. Sorteert uw mailprogramma de berichten op onderwerp, dan wordt deze sortering door een dergelijke toevoeging onmogelijk gemaakt.

Andere spamfilters voegen in de body van het bericht een melding toe, zoals "dit bericht is gecontroleerd en in orde bevonden". Dergelijke meldingen worden soms al door slimme spammers toegevoegd voordat ze het bericht versturen.

Om spam via e-mail te voorkomen worden ook wegwerp-e-mailadressen gebruikt.

Nieuwe vormen van spam

Recent lijkt er een evolutie ingezet waarin spam niet enkel voorkomt in e-mails (of nieuwsgroepen), maar in verscheidene internettoepassingen, waaronder het web. Een populair doelwit lijken internetfora te zijn. Naast het gewoonlijke doel van spam om ongevraagd reclame te maken, heeft spam op het web vaak een extra doel: doordat de spam op veel websites gekopieerd wordt, verwijzen er veel links naar de website van de spammer, waardoor deze website in de rankings van zoekmachines stijgt, zie ook Googlebom.

Spammen op het web is omslachtiger dan via e-mail (of in nieuwsgroepen). Om spam via e-mail te versturen volstaat het de e-mailadressen van de slachtoffers te kennen. Om op het web te kunnen spammen, dient men naast de websites van de slachtoffers ook een bug op de website te kennen zodat men spam op de website kan toevoegen.

Een werkwijze die gevolgd wordt om op het web te spammen is dat men met een bot een zoekmachine scant naar een populair computerprogramma met een bekende bug. Als de bot een website met het programma gevonden heeft, exploiteert de bot de bug.

Een veelvoorkomend voorbeeld is dat nieuwe gebruikers op internetfora aangemaakt worden en dat deze gebruikers een spambericht in hun handtekening hebben en/of een spambericht op het forum posten. Doorgaans blijven er meer spamberichten achter naarmate het minder duidelijk is dat het om spam gaat.

Sterk in opkomst^[bron?] is aandelenspam, waarin gebruikers worden aangemoedigd om een bepaald aandeel te kopen, zodat de koers stijgt. De verzender van de spam heeft vooraf al een grote hoeveelheid van dat fonds ingeslagen om ze dan met winst te kunnen verkopen. Dergelijke pump and dump-fraude is doorgaans illegaal.