Deliverability
En el sórdido submundo de los spammers y los phishers
Anunciamos algunas mejoras en nuestro algoritmo de reputación que nos ayuda a combatir el spam al mismo tiempo que damos la bienvenida a nuevos clientes sin establecer límites de envío arbitrarios. El mayor reto al crear el algoritmo de reputación fue cómo distinguir entre estos clientes legítimos (a los que adoramos) y los spammers y phishers maliciosos (a los que detestamos). Resulta que, a pesar de su creciente sofisticación, los emails de spam y phishing presentan muchos rasgos identificables que hoy vamos a exponer. Es un juego del gato y el ratón en el que no pedimos participar, pero sabemos cazar cuando hace falta.
May 16 09:59:31 razor INFO PID:542 Thread-4 [razor.periodic.detected_by_scanners] SPAMMER! chaseupdate.com
May 16 10:16:10 razor INFO PID:542 Thread-4 [razor.periodic.detected_by_scanners] SPAMMER! onlinechase.com
May 16 15:04:16 razor INFO PID:542 Thread-4 [razor.periodic.detected_by_scanners] SPAMMER! work.com
La anatomía de dos ataques por email
A lo largo de los años, hemos combatido a un montón de spammers (incluso tenemos apodos para los peores reincidentes) y nos hemos dado cuenta de que existen dos patrones principales: los spammers que intentan usar redes de bots para la entrega de millones de emails de spam indiscriminados (Rolex, Viagra, productos farmacéuticos canadienses) y los phishers, que orquestan ataques sofisticados y muy dirigidos contra un número reducido de víctimas. Esto es lo que hemos aprendido sobre cada uno de ellos:
Las redes de bots y los spammers que las aman
Es bien sabido que el “retorno de la inversión” para los spammers es muy bajo. Envían millones de emails con la esperanza de conseguir solo unos pocos clics. Incluso los proveedores de envío masivo de email más baratos no son gratuitos, lo que significa que, como cualquier empresario, tienen que pensar en mantener sus costes bajos. Así es como se preparan estos ciberdelincuentes para un ataque:
- Crean un montón de cuentas gratuitas y envían un pequeño número de emails legítimos desde cada una para simular ser un cliente nuevo que está probando el sistema; esto reduce la probabilidad de que sus mensajes de spam sean marcados como emails sospechosos de buenas a primeras.
- También crean algunas cuentas de pago (usando créditos robados) para diversificar su perfil, lo que hace que su red de bots sea más difícil de detectar.
- A menudo, las cuentas se crean con direcciones de email gratuitas (por ejemplo, @gmail.com o @yahoo.com) o con dominios de empresa legítimos que han secuestrado para aparecer como una fuente de confianza.
- Los acortadores de enlaces (como bit.ly y t.co) y los servicios de alojamiento de subdominios gratuitos (como tumblr) se usan con total libertad para ocultar el destino de sus enlaces, que suelen ser sitios web falsos diseñados para imitar páginas web reales.
Una vez que el spammer ha reunido una red de bots del tamaño suficiente para su ataque (pueden ser decenas o incluso cientos de cuentas), ataca, enviando al mundo una masa de emails no solicitados con ¡OFERTAS INCREÍBLES QUE NO TE PUEDES PERDER!
Gracias al uso de las matemáticas y a muchos datos como las IP de envío, las comprobaciones de contenido de los emails y las similitudes en los detalles de las cuentas, podemos cerrar toda la red de bots de manera casi inmediata. Lo sentimos mundo, tendrás que pagar el precio completo por tu próxima réplica de reloj.
Los phishers maliciosos piensan que menos es más
Los spammers de redes de bots apuestan por el hecho de que si consiguen romper las defensas de un proveedor de email, podrán enviar millones de mensajes con impunidad. Los phishers maliciosos adoptan un enfoque distinto. Estos phishers son delincuentes puros y duros, y son sofisticados, ya que optan por ataques muy dirigidos y de bajo volumen. Este es su modus operandi:
- Solo utilizan tarjetas de crédito robadas de alta calidad para que todas las comprobaciones coincidan (nombre, dirección, código postal, código cvc). Conseguir este tipo de tarjetas es complicado, y demuestra la sofisticación de estos delincuentes y su skill en el robo de identidad.
- Las cuentas prémium se crean con direcciones de email de empresa y dominios legítimos.
- Todas las interacciones con Mailgun se realizan desde IP limpias, lo que reduce las sospechas.
El problema con estos phishers es que parecen ser los clientes ideales. Tienen todo lo que podrías desear en un cliente: números de tarjeta de crédito que son válidos, un email de empresa y una buena reputación en general. Vaya, probablemente podrían darnos un número de la seguridad social legítimo si se lo pidiéramos. Eso es lo que los hace tan peligrosos.
Utilizan su aparente legitimidad junto con un poco de ingeniería social (hablaremos de esto más adelante) para eludir lo que ellos creen que los proveedores de email están buscando. Y entonces atacan… no con millones de emails, sino quizá solo con unos miles. Además, siempre están haciendo tests A/B con su contenido para ver cuál consigue más clics (y cuál supera los filtros de spam), lo que hace que sea aún más difícil detectarlos, ya que el contenido es diferente cada vez, incluso para el mismo ataque.
El código que aparece al principio del artículo es un ejemplo de uno de estos intentos de phishing. Se utilizaron tres cuentas distintas para enviar emails con el asunto “Chase: Security Recommendation”. Y las cerramos de inmediato (“Razor”, en el código, es como llamamos a nuestro pequeño algoritmo de reputación).
Con Razor y los puntos de datos que analizamos en cada mensaje en tiempo real, aún somos capaces de frustrar estos ataques. Este tipo de ataques son uno de los principales motivos por los que creamos Razor. Un enfoque popular para combatir el spam se basa en el volumen. En primer lugar, para los nuevos clientes, limitas cuántos emails pueden enviar, hasta que poco a poco vas conociéndolos y aumentas su límite de envío. Además, si alguna vez ese cliente tiene un pico de volumen superior a su nivel medio, lo miras con recelo y lo vuelves a limitar. El problema es que nada de esto ayuda con un spammer que solo envía unas docenas de emails maliciosos. La protección basada en el volumen es un cuchillo sin filo que perjudica a los remitentes legítimos y no detiene a los malos. La única solución al problema es mucha investigación, análisis de datos y algoritmos sofisticados. Podríamos profundizar más en esto, pero corremos el riesgo de darle demasiada información al enemigo.
Cometer fraude requiere a veces un poco de ingeniería social. Los spammers ven sus cuentas desactivadas y, a menudo, intentan ganarse a nuestro equipo de asistencia, con la esperanza de que se las vuelvan a activar. Este tipo de cosas ocurren más de lo que nos gustaría, pero los insultos que invariablemente siguen al hecho de ser pillados pueden ser divertidos. Resulta en cierto modo satisfactorio saber que el spammer ha sido derrotado y que solo puede responder con frases a medias llenas de unas cuantas palabrotas. Aquí tienes algunas conversaciones típicas (hemos modificado algunos detalles para proteger a los culpables).
Uso de un proxy anónimo
El spammer usa un proxy anónimo para fingir que está en un país, mientras insiste al mismo tiempo en que está en otro.
Envío de emails desde un dominio obviamente fraudulento, fingiendo ser Amazon y PayPal
El spammer se queda sin palabras (de más de cuatro letras) cuando se le pide que explique cómo se relacionan Amazon y PayPal con su negocio.
Incapacidad para configurar los registros DNS para el dominio que afirman controlar
El spammer se lía cuando se le pide que configure el registro DNS para su dominio y le informa amablemente a nuestro equipo que a algunos hombres les resulta atractiva la madre de nuestro representante de asistencia.
Esperamos que hayas disfrutado de este recorrido desde dentro por el mundo de los spammers y los estafadores. Si tienes curiosidad, puedes leer más detalles sobre Razor, nuestro sistema de reputación aquí.
Feliz envío (legítimo),
El equipo de Mailgun
