Как уничтожить спам

Доля спама в российском трафике электронной почты достигает 70-80%. Предложения "легко обогатиться", "недорого отдохнуть" и т. п. не только раздражают пользователей, но и приносят колоссальные убытки компаниям. По некоторым оценкам, каждая компания из-за спама в среднем теряет до 200 и более долларов в год в расчете на одного служащего.

Причина столь широкого распространения спама - его действенность: исследование лаборатории "Спамтест" показало, что 100% заказчиков спама считают этот прием рекламы эффективным и планируют использовать его в дальнейшем. Существующие технические средства борьбы со спамом не дают абсолютной защиты и используются не так широко, к тому же их использование грозит утерей нужных входящих писем.

Юридических барьеров для спама до сих пор нет, хотя в конце июня в Государственную Думу РФ депутатом Владимиром Мединским был внесен законопроект, предусматривающий внесение изменений в закон "О рекламе", УК РФ и КоАП РФ. Однако прежде чем говорить о возможной эффективности законодательного регулирования и возможности ликвидации спама в ближайшем будущем, оценим ситуацию в российском Интернете.

Мера зла

Наиболее подробное и объективное исследование такого явления, как спам, в России проводит лаборатория "Спамтест" - подразделение компании "Ашманов и партнеры".

"Спамтест" анализирует почтовый трафик нескольких крупнейших почтовых серверов российского Интернета, что позволяет получить высокую репрезентативность выборки. Опубликованный в июле отчет "Спам в Рунете: I полугодие 2004 года" зафиксировал рост спама до 80%, и хотя это на 10% ниже сделанного этой же лабораторией прогноза, сомнений нет - спам достиг неприемлемого для нормальных пользователей уровня. Особенно если учесть, что в 2002 году на спам приходилось только 30-40% корреспонденции, а летом 2003 года - более 50%. Причем доля русскоязычного спама выросла с 30% до 50%. Правда, в конце 2003 года практически был достигнут сегодняшний уровень, однако это означает только, что наступило некое равновесие в борьбе со спамом. То есть те усилия, которые предпринимаются специалистами (в основном технического плана), а также меры "самообороны" пользователей позволяют только сдерживать рост спамерской активности.

Тематика непрошеной корреспонденции варьируется в зависимости от сезона, уровня покупательской способности населения и прочих факторов, однако практически неизменно более половины всего спама отвечает следующим темам (в порядке убывания доли): "Для взрослых", "Образование", "Медицина и здоровый образ жизни", "Услуги по электронной рекламе", "Личные финансы", "Отдых и путешествия". В тематике спамерских писем отмечены новинки: например, русский вариант "нигерийских писем" (вид мошенничества, процветающий более десяти лет. Человек получает письмо якобы от опального диктатора некой "банановой республики" (олигарха, премьер-министра и т. д.) с предложением помочь за большую комиссию вывести упрятанные от народа миллионы. Получатель для этого должен выполнить некоторые действия, в результате которых его обманывают. Подробно об этом виде афер можно прочитать, например, в книге С. Голубицкого "Великие аферы ХХ века" (www.sharebook.ru/golub.zip)). Теперь пользователям предлагается спасти деньги Михаила Ходорковского и других акционеров "ЮКОСа".

Российские аферисты перенимают и другой вид мошенничества, развитый за рубежом в силу глобального участия населения в играх на бирже. Появляются спамерские письма, советующие срочно продавать или покупать акции некоей компании. Цель - попытка повлиять на курс акций ради крупной биржевой игры. В цивилизованных странах это классифицируется как мошенничество.

Начинает задействоваться спам и в политической агитации. На волне выборов различного уровня в начале 2004 года в спамерской агитации были замечены многие политические партии и отдельные лидеры (впрочем, незаконные методы агитации часто могут исходить от политических конкурентов, поэтому выводы здесь надо делать осторожно).

Но самое главное - постоянно совершенствуются технологии спамерских атак. Основными средствами для рассылки спама, согласно отчету лаборатории "Спамтест", являются следующие:

• троянские программы, которые устанавливаются незаметно на компьютеры пользователей (как правило, с помощью вирусных атак);
• настроенные по умолчанию (без пароля или с известным паролем) клиентские устройства доступа: ADSL-модемы, маршрутизаторы, устройства радиодоступа Wi-Fi;
• NDR-атака (non delivery report): письмо с подделанным адресом отправителя-жертвы отправляется на несуществующий адрес, в результате чего сообщение о недоставке, содержащее спам, доставляется отправителю;
• давно используемые средства: открытые почтовые серверы, CGI-cкрипты и др.

К концу прошлого года многие провайдеры и владельцы серверов бесплатной почты установили противоспамные фильтры, что заставило спамеров искать пути их обхода. Один из самых простых способов обхода - искажение написания слов ("поокупйате нааш ттовар") - отмирает: фильтры легко отслеживают искажение слов, а рекламодатели обычно против такого издевательства над текстом. Зато все чаще используется "графический спам", где сообщение представлено в графическом виде. Причем сама картинка изменяется от письма к письму путем внесения малозаметных искажений. Фильтры обычно не в состоянии распознавать текст, поэтому такие письма можно отфильтровать только по другим признакам.

По-прежнему используются и другие приемы обхода фильтров - модификация текста сообщения (в том числе использование цитат и случайных последовательностей), а также трюки с HTML (например, невидимый текст, скрывающий вносимые искажения).

Дело техники

Практически единственным способом защиты от рассыльщиков спама до сих пор остаются технические средства и меры защиты. Среди них наиболее очевидным является фильтрация - выделение по ряду признаков рекламных сообщений. На сегодняшний день методов фильтрации известно как минимум четыре:

• анализ по формальным критериям: многие рекламные послания выдают себя такими простыми и легко проверяемыми признаками, как большое количество получателей, отсутствие в заголовке письма адреса отправителя или получателя, наличие IP-адреса отправителя, отсутствующего в базе данных DNS (то есть скорее всего фальшивого), и ряд других;
• ведение "белых" и "черных" списков почтовых адресов и IP-адресов. Это самый старый способ борьбы со спамом, до сих пор остающийся эффективным, хотя бывает, что в "черные списки" попадают известные почтовые серверы. "Белые списки" позволяют не потерять рассылки (по многим признакам похожие на спам), на которые пользователь подписался по своей воле;
• сигнатурный анализ. В письмах ищутся характерные для рекламных сообщений последовательности символов - сигнатуры. Метод хорошо разработан в антивирусных продуктах и допускает даже незначительные вариации текста спама;
• лингвистический анализ текста сообщений - самый "интеллектуальный" из методов фильтрации, который основан на анализе смысла сообщения (используется, например, в программе Kaspersky Anti-Spam). Этот метод, однако, неприменим для анализа графических файлов и, подобно другим методам, допускает вероятность ложного срабатывания фильтра.

Методы борьбы со спамом непрерывно совершенствуются, но, как показывает статистика, существенно снизить эффективность спама пока не удается. Хотя бы потому, что непонятно, кто должен защищать пользователей от спама. Вообще, защита возможна на трех уровнях:

• провайдеры доступа в Интернет, почтовые порталы и хостинг-компании;
• администраторы конкретных почтовых серверов;
• конечные пользователи.

Чем выше уровень, на котором удается отсечь спам, тем выше эффективность борьбы. Даже если провайдер будет фильтровать только 10% от миллиона писем, это будет лучше, чем если конечному пользователю придется отбрасывать 99% спама из той сотни сообщений, которую он получает ежедневно. Поэтому следует признать, что многие провайдеры, в том числе поддерживающие корпоративные почтовые серверы, просто игнорируют проблему. К тому же они не несут прямых убытков от спама (всю корреспонденцию оплачивают пользователи и владельцы серверов). Хотя провайдеры могут достичь заметного уровня отсечения спама без использования специальных программных средств. Например, простейший метод фильтрации DRBL-зоны, который используется многими, но, к сожалению, не всеми провайдерами, позволяет отсекать значительную долю спама - до 80%, по оценке специалистов "Зебры Телеком" (заметим, что эта оценка выглядит слишком оптимистичной). Следует отметить, что серьезно к борьбе со спамом относятся владельцы известных почтовых порталов. Это отчасти вызвано тем, что им, предоставляющим свои услуги бесплатно, как раз приходится платить за спам из своего кармана. С другой стороны, внедрение эффективных антиспамерских фильтров - дополнительное конкурентное преимущество, поэтому неслучайно крупнейший почтовый сервер Mail.ru (содержащий более 10 млн. почтовых ящиков) первым год назад внедрил систему Kaspersky Anti-Spam. К этому времени такие порталы, как "Рамблер" и "Яндекс", уже использовали более простые, но тоже эффективные методы фильтрации.

На среднем уровне (администрирования почтовых серверов) тоже есть свои проблемы. Многие, особенно небольшие, компании пользуются услугами провайдеров и имеют ограниченные возможности администрирования собственных серверов. На этом уровне эффективным решением может оказаться упомянутая выше система Kaspersky Anti-Spam. В ней используется уникальный алгоритм лингвистического анализа, однако до сих пор программа не выпущена в пользовательской версии. В основном эта система адресована провайдерам и крупным корпоративным клиентам. Она работает пока что только под управлением ОС Linux и FreeBSD.

Что же касается конечных пользователей, то мало кто из них пользуется программами фильтрации, да и их использование не снижает убытков компаний от прихода корреспонденции, ибо спам уже находится на почтовом сервере, а потому оплачен из кармана компании или конкретного пользователя. В то же время, если владельцам почтовых адресов не на кого больше надеяться, то "пользовательские" фильтры будут полезны. Подходы разработчиков к фильтрации здесь довольно разнообразны.

Есть классические фильтры, которые по ряду признаков вычленяют рекламные сообщения и визуально помечают их, предлагая пользователю подтвердить их удаление (возможно и удаление без подтверждения). Работают они обычно как межсетевые экраны (между пользователем и почтовым сервером), пропуская через себя все сообщения, приходящие на порты почтовых служб. Поэтому многие из них могут быть использованы для защиты пользователей небольших локальных сетей. Свои решения здесь предлагает еще одна известная на российском рынке компания Symantec. Ее продукт хотя и не может анализировать тексты на русском языке, тем не менее, обходясь другими методами, успешно справляется с задачей фильтрации. Программа доступна как отдельно (Norton Antispam 2004), так и в составе пакета Norton Internet Security (антиспам, антивирус, защита от удаленных атак).

Большой популярностью среди клиентских решений пользуется и такая российская разработка, как WinAntispam, хотя признать ее идеальным средством трудно. Она предлагает пользователю сформировать список доверенных контрагентов, письма от которых не будут считаться спамом. Любой "недоверенный" отправитель письма получает предложение подтвердить отправку (99% спама приходит с фальшивого адреса), и только в этом случае он попадает в список доверенных лиц. Подход радикальный, но имеющий очевидный недостаток: срочное письмо может оказаться не прочтенным вовремя. А вот компактная программа Anti-Spam Filter российско-канадской команды Pingram, также работающая на клиентском уровне, просто аккуратно помечает сообщения, очень похожие на спам. И хотя точность распознавания не 100-процентная, зато программа в силу принципа своего действия никогда ошибочно не удаляет письма. Точно в таком же рекомендательном режиме работает фильтр в почтовом клиенте The Bat, а также фильтр "Спамтест".

Лаборатория "Спамтест" предлагает фильтрацию спама как сервис, то есть без всяких дополнительных программ и совершенно бесплатно. От спама можно избавиться, направив почтовый трафик транзитом через сервер "Спамтеста". Каждое письмо, перенаправленное "Спамтесту", подвергается анализу и помечается специальной меткой, после чего присылается на указанный клиентом адрес. Используя метки, поставленные "Спамтестом", можно настроить правила почтовой программы так, чтобы письма автоматически раскладывались по папкам.

Итак, анализ существующего опыта борьбы со спамом техническими средствами показывает и то, что чем больше разработчики стремятся оградить пользователя от спама, тем больше вероятность оградить его и от полезных (а иногда и срочных) сообщений. Впрочем, это фундаментальная проблема ошибок первого и второго рода, хорошо известная в теории защиты информации. Поэтому разработчикам не стоит гоняться за "девятками", достаточно отфильтровывать 70-80% спама, но при этом иметь 100-процентную гарантию прохождения легальных писем. К сожалению, факты отбрасывания нормальных писем противоспамными фильтрами, "закрученными" до параноидальных пределов, становятся самостоятельной проблемой.

Закон против спама

Итак, одними техническими мерами оградить пользователей от спама невозможно. Помимо этого можно использовать пропаганду отношения к спаму как к безнравственному способу рекламы, а также юридические меры. О них и поговорим.

Летом в Государственную Думу РФ был внесен законопроект, предусматривающий ответственность лиц, использующих спам. Закон примечательный по нескольким причинам. Во-первых, он разрабатывался в тесном взаимодействии с экспертами, особенно следует отметить активную роль созданной год назад Национальной коалиции против спама. Во-вторых, в законе четко определено понятие "массовой рассылки сообщений электросвязи", и тем самым он запрещает не только спам, но и телефонную, факсовую рекламу, рассылку сообщений SMS и ICQ без предварительного согласия адресата. В-третьих, вводится хорошо взвешенная административная и уголовная ответственность за спам. "Посадить" за спам, по крайней мере в соответствии с текущей редакцией законопроекта, будет невозможно, но остаться на всю жизнь с судимостью мало кому понравится.

Массовой, согласно предлагаемой поправке к закону "О рекламе", признается рассылка сообщений более чем в 1000 адресов в сутки, в 10 тыс. адресов в месяц или 100 тыс. - в год. При отсутствии предварительного согласия адресата рассылка допускается, если она не является массовой, без труда может быть идентифицирована получателем как реклама, сообщение содержит информацию о том, в чьих интересах и кем проведена рассылка (наименование, почтовый или электронный адрес) и, наконец, имеется очевидная для получателя возможность отказаться от дальнейшего получения сообщений. Запрещено и использование телефонных сетей для совершения автоматических телефонных звонков.

За нарушение закона планируется предусмотреть уголовную и административную ответственность внесением соответствующих дополнений в УК РФ и КоАП РФ. Максимальная мера наказания (согласно предлагаемой новой 274-й статье "Массовая рассылка сообщений электросвязи") предусматривает штраф до 500 тыс. рублей или в размере полуторагодового дохода виновного для отдельных лиц, для "группы лиц по предварительному сговору" предлагается от 1 до 2 лет исправительных работ. Дополнение в КоАП РФ предусматривает от 5 до 25 МРОТ штрафа для граждан, 50-200 МРОТ для должностных лиц и 300-1000 МРОТ для лиц юридических.

Заметим, что уголовная ответственность необходима не просто для "утяжеления" наказания (хотя "уголовный штраф" тяжелее "административного штрафа" даже при равенстве суммы). По уголовным делам, в отличие от гражданских исков, возможно проведение оперативно-розыскных мероприятий, без которых спамера поймать практически невозможно. В уголовном деле не надо доказывать и значительность ущерба, достаточно самого факта преступления. Наконец, уголовная ответственность, как известно, персонифицирована, то есть предполагает наказание конкретных виновников.

Безусловно, возникает вопрос, как можно поймать спамера-исполнителя, если большинство действий происходят в "виртуальном пространстве". Успешный опыт расследования преступлений в сфере высоких технологий сотрудниками специального Управления "К" МВД России показывает, что если захотеть, можно поймать любого преступника, действующего в Интернете (к слову, за первое полугодие Управление "К" зафиксировало более 4000 преступлений).

Если законопроект не встретит серьезных препятствий, то его утверждение возможно уже осенью, а вступление в силу - с Нового года. Разумеется, закон никак не поможет в борьбе со спамом, исходящим от подданных иных государств, на долю которых приходится около половины российского спама. "Принятие довольно суровых законов против спама в США и Европе не привело пока к заметному снижению числа рекламных рассылок. Однако объявление спама уголовным преступлением смещает эту деятельность в теневую область, поэтому теперь им пользуется уже не малый бизнес, как пару лет назад, а всякие интернет-шайки: „финансовые пирамиды“, порносайты, нелегальные „аптеки“, которые и так вынуждены скрываться от преследования", - говорит Игорь Ашманов. Однако эксперт уверен, что вместе с технической фильтрацией принятие закона даст заметное снижение спама в 2005-2006 годах.

Борьба со спамом

Опыт борьбы со спамом на уровне провайдеров в России имеется. Хорошим примером здесь является "Зебра Телеком", один из крупнейших операторов связи. В этой компании существует специальное подразделение технической службы, которое занимается почтовым сервисом и работой со спамом и спамерами.

Сегодня каждый солидный интернет-провайдер ведет так называемую DRBL-зону (распределенный список блокируемых адресов - Distributed Real-time Blocking List), содержащую IP-адреса спамеров или целые адресные зоны, с которых происходит рассылка спама. Списки спамеров ведут не только провайдеры, но и специальные организации, например, SpamCop.net, SORBS.net.

Политика ведения DRBL-зоны у каждой компании своя. Например, стоп-лист "Зебры" состоит из двух частей. Первая - собственный DRBL, который составляется по жалобам, приходящим в службу поддержки компании от ее абонентов или других пользователей Интернета, вторая - списки DRBL проверенных провайдеров и специальных организаций. Стоп-лист "Зебры Телеком" автоматически обновляется каждые 15 минут.

"Спам - явление массовое, поэтому хоть один из его получателей жалуется в службу поддержки или администратору нашего почтового сервера. Как только становится ясно, что это действительно спам - адрес отправителя попадает в наш стоп-лист, доступный другим провайдерам, а администратору данного адресного пространства направляется письмо с копией жалобы и просьбой разобраться и закрыть данный почтовый адрес", - говорит генеральный директор компании "Зебра Телеком" Виктор Каледин. Если по какой-либо причине администратор данного почтового сервера не реагирует на запрос провайдера и рассылка спама продолжается, в стоп-лист вносится все подотчетное ему адресное пространство.

Каждое входящее сообщение для клиентов "Зебры" сначала попадает на почтовый сервер компании, где адрес отправителя проверяется в DRBL-зоне. В случае, если адрес занесен в стоп-лист, система автоматически отправляет сообщение о невозможности доставки письма. В этом письме указывается адрес администратора DRBL-зоны, в которую занесен его адрес, а также дата и время отправки.

Еще одно направление борьбы со спамом - введение технических ограничений на рассылаемую корреспонденцию. Так, письма ограничиваются по возможному количеству адресатов, указанных в одном письме. Также абонент может отправить не более определенного количества сообщений в единицу времени.

На почтовом сервере "Зебры Телеком" работает программа, анализирующая зависимость времени отправки сообщений от количества адресатов. Если один из критериев был превышен, то абонент блокируется на определенный срок. Если же ясно, что с этого адреса рассылается спам, то он закрывается.

Еще один технический барьер состоит в том, что абонентам не позволено напрямую связываться с почтовыми серверами других провайдеров или компаний. Вся почта идет через почтовый сервер "Зебры".