Nevyžádaná poptávka lstí ověřuje české e-mailové adresy pro další spam

Falešná nabídka od falešné firmy zasáhla desítky tisíc českých uživatelů internetu. Slouží pravděpodobně k ověření funkčnosti adres, například pro účely budoucího rozesílání nevyžádané pošty.

Nevyžádaná pošta, tzv. spam (v narážce na slavnou scénku Monty Pythonů) | foto: Profimedia.cz

Aktualizace: Do článku jsme doplnili vyjádření odborníků (na konci článku).

"Rádi bychom využili vašich služeb, zašlete nám prosím cenovou nabídku." Každého podnikatele musí potěšit, když podobnou větu najde ve své e-mailové schránce. Zdá se, že během víkendu dostaly podobně optimistický e-mail, podepsaný firmou FBMail, s.r.o., desetitisíce českých uživatelů. Radují se ale předčasně - jde o podvodný způsob, jak ověřit platnost e-mailové adresy. Na případ nás upozornil Roman Kocman.

Falešná nabídka

Text e-mailu, který došel pravděpodobně desítkám tisíc českých podnikatelů i soukromníků:

Dobrý den,

rádi bychom využili Vašich služeb, zašlete nám prosím cenovou nabídku.
Specifikaci požadavků naleznete v příloze.

S pozdravem

Ing. Alena Krátká
-----
Obchodní oddělení FBMail, s.r.o.

zdroj: blog rocfdebian

E-mail využívá velmi obecné formulace, které nevyvolávají podezření - poptávky jsou skutečně často formulovány podobným způsobem. V příloze e-mailu se pak nachází obrázek s údajným logem firmy, který ale neobsahuje žádné obrazové informace. Vede na doménu fbmail.cz, na obrázek o velikosti 1 × 1 pixel, což ukazuje na typický "ověřovací" trik. Cílem zřejmě je ověřit si, které e-mailové adresy v databázi odesílatele jsou funkční (respektive jejich majitelé dostatečně důvěřiví a přílohy otevírající). Adresy může rozesílatel přiřadit ke konkrétním návštěvám na web (otevření přílohy, načtení obrázku) díky unikátnímu číslu v URL adrese každého obrázku. Kromě funkčnosti adresy může takovýto spamer teoreticky získat i základní informace o počítači, například IP adresu. To mu, nebo jeho klientům, usnadní cílení reklamních sdělení rozesílaných na konkrétní, již ověřené e-mailové adresy.

Podle ohlasů na již zmíněném blogu a také podle odpovědí našich fanoušků na facebookové stránce Technet.cz se lze odůvodněně domnívat, že e-mailová zpráva zasáhla desítky tisíc českých e-mailových adres. Nejvyšší zaznamenané číslo přesahuje 94 tisíc.

FBMail - zpráva

Doména FBMail.cz byla koupena nedávno, jako držitel je uveden Martin Klubal, mj. vlastník domény soom.cz, publikující informace o počítačové bezpečnosti. Jak jsme byli upozorněni v diskuzi, soom.cz provozuje také některé projekty umožňující posílat podvržené e-maily.

Martin Klubal nám obratem zaslal následující vyjádření: "Jsem majitelem domény a virtuálního serveru, nikoliv však všech služeb, co na něm běží. Server s doménami pronajímám třetím stranám, které je využívají ke svým zájmům, nikoliv však k rozesílání spamu, byť tyto žádosti díky službě emkei.cz dostávám téměř denně. To, že někdo této důvěry zneužil k jinému účelu, než deklaroval, jsem ovlivnit nemohl, okamžitě jsem však rozesílání zastavil, jakmile mi přišla první stížnost. Momentálně server využívají jak české, tak zahraniční služby, ještě jednou však zdůrazňuji, že nikoliv k rozesílání spamu. Nikdy jsem spam nerozesílal a nehodlám to ani podporovat, natož pod svým jménem."

Údajná firma FBMail, s.r.o. není zanesena v Obchodním rejstříku.

Co je to spam?

Nevyžádaná pošta (anglicky "spam") je obecně jakýkoli nesouvisející, nevyžádaný, obtěžující e-mail.

Konkrétně, podle českého a evropského práva, jde například o nevyžádanou nabídku zboží či služeb, jejíž odesílatel nesplnil podmínky vyžádaného obchodního sdělení.

Obecně se za spam označují i jiné obtěžující zprávy, reklamy a texty, šířené nejen e-mailem, ale například i v diskuzích, na Twitteru, Facebooku, v SMS apod.

Obrana před spamem je v zásadě jednoduchá:

1. Neotevírat přílohy z neznámých či nevyžádaných e-mailů.
2. Nevyžádané e-maily označit jako "spam" a pomoci tak s jeho filtrováním.
3. Nedůvěřovat žádným podezřele výhodným nabídkám, které přijdou e-mailem, vždy postupovat s opatrností a vše ověřit.

Pozor na nevyžádanou poštu a podezřelé přílohy

Varování před otevíráním příloh u nevyžádané pošty je staré skoro jako internet samotný. Přesto se stále najdou uživatelé, kteří na past naletí a otevřou svůj počítač hrozbám virů, malware nebo (jako v tomto případě) alespoň umožní prozrazení toho, že jejich adresa je funkční a že jsou připraveni na další dávku spamu.

Je pochopitelně často obtížné najít hranici mezi tím, co je nezákonná praktika a co je pouze kreativní využití nových technologií. Hromadné rozesílání falešné nabídky pod falešným jménem je ovšem za hranicí když ne zákona, tak zcela jistě dobrých mravů internetové etikety. Zdaleka přitom nejde o ojedinělý případ.

Vyjádření odborníků

K problému se nám vyjádřili také odborníci na webový hosting a domény.

Vilém Sládek, Sdružení CZ.NIC

1. Je teoreticky možné zjistit identitu rozesílatele?

Ano, v některých situacích lze zjistit identitu rozesílatele. K jeho idetifikaci slouží hlavička e-mailu. Důležitým údajem je řádek Recieved: from .. (..[IP adresa]), kde IP adresa přímo určuje stroj, ze kterého byl e-mail poslán. Pokud ale útočník zfalšuje tyto údaje, snižuje se tím šance na získání jeho identity.

2. Jaké jsou možnosti obrany (ze strany NIC, hostingu i uživatelů) proti
podobným spamerům?

Jak pro uživatele, tak pro hosting všeobecně platí pravidlo používat antivirový program, firewall, jakýkoliv antispamový filtr, případně blacklisty (seznam IP adres, ze kterých není vhodné přijímat e-maily). O všechny tyto ochrany proti spamu je zapotřebí se také náležitě starat.

CZ.NIC jako správce domén .cz nedisponuje právními nástroji, kterými by mohl držitele domény, případně jiný subjekt, který nevyžádané zprávy odesílá, postihnout. V těchto případech doporučujeme obrátit se přímo na Úřad pro ochranu osobních údajů - řešení případů nevyžádaných obchodních sdělení patří do jeho působnosti; na stránkách úřadu je k dispozici i online formulář stížnosti.

Nicméně v rámci činnosti námi provozovaných bezpečnostních týmů tato
podání ověřujeme a o tom, že jejich prostřednictvím je rozesílána podobná pošta informujeme technické správce příslušných domén. Často jsou totiž i oni sami obětí, když skutečný útočník zneužívá nějaké zranitelnosti jejich systému.

3. Je tento případ něčím výjimečný?

V tomto případě zde jedna zvláštnost skutečně je - adresát dostane  důvěryhodně vypadající e-mail o objednávce s přiloženým souborem, který by měl obsahovat specifikaci. Pokud soubor otevřete, zjistíte že dokument je prázdný. Jediné, co je zde aktivní, je logo společnosti. Pokud kliknete právě na toto logo, váš počítač se přihlásí na předem definovaný server, který potvrdí platnost vašeho e-mailu. To zaručuje, že e-mail, na který byl dokument zaslán, je platný a může být dále používán pro zaslání nevyžádané pošty.

Erich Syrovátka, FORPSI

"Zpráva nevykazuje znaky nevyžádaného obchodního sdělení, a odesílatel pravděpodobně nemá potřebu podvrhnout e-mailovou adresu. Buď se jedná skutečně o ověřování funkčnosti e-mailových adres pro další spam, nebo je to součást výzkumu k následnému článku na soom.cz."

Martin Klubal, Soom.cz (rovněž majitel domény fbmail.cz)

"Jsem majitelem domény a virtuálního serveru, nikoliv však všech služeb, co na něm běží. Server s doménami pronajímám třetím stranám, které je využívají ke svým zájmům, nikoliv však k rozesílání spamu, byť tyto žádosti díky službě emkei.cz dostávám téměř denně. To, že někdo této důvěry zneužil k jinému účelu, než deklaroval, jsem ovlivnit nemohl, okamžitě jsem však rozesílání zastavil, jakmile mi přišla první stížnost. Momentálně server využívají jak české, tak zahraniční služby, ještě jednou však zdůrazňuji, že nikoliv k rozesílání spamu. Nikdy jsem spam nerozesílal a nehodlám to ani podporovat, natož pod svým jménem."