O que os spammers querem, como o conseguem e como os impedir

Os spammers são uma ocorrência recorrente online e, mais tarde ou mais cedo, é provável que tenha de lidar com eles. No entanto, embora sejam tão prevalentes, muitas pessoas têm pouca ou nenhuma compreensão de como os spammers chegam ao seu website, muito menos o que querem deles.

Neste breve guia, vamos explicar-lhe exatamente quais são os métodos que os spammers usam para chegar ao seu website, quais as suas reais intenções geralmente são e, mais importante ainda, como preveni-los de chegarem a si.

Como é que os spammers encontram o seu site?

Há várias maneiras pelas quais os spammers podem atacar o seu website. Ocasionalmente, é um ataque dirigido especificamente a si. No entanto, é mais comum os spammers usarem spambots que recolhem automaticamente uma lista exaustiva de alvos.

Os spambots geralmente chegam aos seus alvos através do uso de keywords específicas. Por exemplo, se o seu objetivo é atacar um site que usa Drupal, o spammer irá incluir keywords relevantes relacionadas com Drupal, após o qual o spambot irá rastrear os resultados e recolher alguns milhares de resultados para usar como alvos. É importante referir que certos termos são específicos para certos tipos de website (por exemplo, blogs de WordPress normalmente incluem o termo “Proudly powered by WordPress”) ou conteúdo (por exemplo, a frase “Leave a reply” mesmo antes dos comentários). Logo, se não forem alterados, estes termos servem como indicadores óbvios da plataforma que utiliza para os spambots localizarem. Este tipo de termos são chamados de ‘footprints’ e vão desde footprints de texto a footprints de URL.

Mesmo quando a plataforma em si não é reconhecível de imediato para um spambot, existem várias maneiras destes detetarem e deixarem comentários, como um ataque de força bruta em que testam vários métodos para ver qual funciona no seu sistema de comentários, pelo que mesmo evitar footprints não é suficiente para impedi-los, embora ajude.

O que é que os spammers querem?

A principal motivação para o spam é lucro. Spam tem tendência para ser muito lucrativo, mesmo quando os spammers estão só a tentar vender produtos questionáveis. No entanto, há maneiras piores que os spammers usam para ganho financeiro.

Um desses casos é phishing, ou seja, adquirir informações pessoais sensíveis do utilizador, como passwords ou informação de cartão de crédito, fingindo ser uma fonte importante ou oficial, como um banco ou um gestor de TI, ou promovendo uma oferta falsa para conseguir a atenção do utilizador. Com a popularidade das redes sociais, existem até técnicas de phishing focadas exclusivamente em criar posts de aparência autêntica para este fim.

Outro motivo potencial para spam é tornar o seu computador num zombie. Em ciência da computação, um zombie é um computador que foi infetado por um vírus ou um hacker e é agora controlado remotamente pelo atacante, sem o utilizador se aperceber. Estes computadores infetados são então usados para fins maliciosos, como orquestrar ataques de negação de serviço (DDoS) ou mesmo para espalhar mais spam online através de e-mail spam, conseguindo assim ainda mais lucro.

Existem também spammers que procuram adicionar links que enviam para os seus próprios websites ou para ofertas enganadoras, numa tentativa desleixada de atingir posições maiores nos motores de busca para os seus websites. Estas tentativas de linkbuilding são táticas de SEO não recomendadas que não são aprovadas pela Google, visto que são tentativas de enganar tanto os motores de busca como os utilizadores através de linkbuilding desonesto.

Seja qual for o caso, spam, no fim das contas, acaba sempre por ter intenções maliciosas, seja para si, o seu site ou os seus utilizadores.

O que posso fazer para prevenir spam?

Essencialmente, métodos de prevenir spam estão divididos em duas categorias: aqueles que afetam a experiência de utilizador e aqueles que não a afetam.

Métodos que afetam a experiência de utilizador envolvem em geral algum tipo de passo adicional anti-spam ao registrar-se ou comentar. Possivelmente o exemplo mais bem conhecido são CAPTCHAs, aos quais muitos sites recorrem para impedir os spammers. No entanto, CAPTCHAs não são infalíveis, com spambots mais avançados a usarem OCR (reconhecimento ótico de caracteres) para transformar CAPTCHAs em texto. Existem inclusive ‘fazendas humanas’ nas quais pessoas reais são pagas para resolver CAPTCHAs para os spambots. Para além disso, este métodos acrescentam também um grau de irritação para o utilizador que prejudica a experiência de utilizador no seu website, embora soluções mais modernas, como o reCAPTCHA, estejam a simplificar este processo ao remover muita da maçada.

Métodos que não afetam a experiência do utilizador tratam das maneiras que os spambots usam para chegar e interpretar websites de modo a prevenir spam. Estas técnicas preventivas funcionam através da redução dos já mencionados footprints dentro dos websites, por exemplo, alterando os títulos usados por campos de comentário (e.g. “Say something” em vez de “Leave a reply”), removendo completamente os termos que os spambots usam para identificar plataformas e vulnerabilidades, e até mesmo alterando URLs que são associados a certos tipos de website (por exemplo, “/users/” em Drupal, “/wp-admin/” em WordPress). Existem também websites anti-spam que providenciam ferramentas ou mesmo bases de dados extensivas de spammers conhecidos e os respetivos endereços de forma a ajudá-lo a bloquear o spam à entrada. No global, estes métodos geralmente têm menos impacto na experiência de utilizador porque são essencialmente impercetíveis para os utilizadores, mas bloqueiam metodologias automatizadas de spam.