Es posible que aún queden usuario que cuando escuchen la palabra “spam” desconozcan su verdadero significado. Sin embargo, si a esas mismas personas les preguntáramos si habitualmente reciben correos o SMS que provienen de personas o empresas desconocidas, muy posiblemente nos responderían que están hartos de ver ofertas de productos que no han solicitado o de recibir invitaciones a responder a peticiones que no han realizado.

El spam —un acrónimo que surgió a finales de los años 50 cuando una famosa charcutería norteamericana comercializó un producto denominado “spiced ham”— se ha convertido en uno de los mayores “ruidos que circulan por Internet”. Mas del 50% de los correos electrónicos son clasificados como correos spam. Solo hay que revisar los informes que elaboran algunas consultoras para darse cuenta de que cómo esa tasa no solo no tiende a reducirse, sino que antes, al contrario, sigue creciendo. Por ejemplo, en el primer mes del año 2020, Cisco-Talos identificó más de 263 billones de correos electrónicos clasificables como spam. Al final, solo un 15% del total de mensajes son reconocidos como lícitos.

Técnicas utilizadas para clasificar el spam

A la hora de identificar un mensaje como spam existen multitud de criterios para clasificarlos. Algunos métodos están basados en el contenido, como por ejemplo la aparición de ciertas palabras en el cuerpo del mensaje, la tasa de imágenes que incluyen o el estilo de redacción que utilizan. Para este tipo de valoraciones suelen utilizarse técnicas avanzadas de Machine Learning basadas en métodos de filtros bayesianos o redes neuronales que clasifican los contenidos en virtud de los eventos reconocidos por la red. Otros métodos utilizan criterios meramente técnicos como son las listas negras y blancas de direcciones o dominios de Internet, la reputación del servidor de correo remitente o el volumen y velocidad de los envíos que realizan. A menudo, se trata de indicadores que son objetivables como fuentes de posibles correos spam.

Las herramientas comerciales desarrollan filtros antispam combinando ambas técnicas mientras tratan de reducir los tiempos de respuesta sin afectar a la fiabilidad de sus resultados. Gmail, Outlook o Yahoo mail, por ejemplo, utilizan algunas de estas aproximaciones. Fabricantes como Cisco, Sophos, Symantec o Titan incorporan métodos avanzados que forman parte de su propiedad intelectual y cuyos criterios de clasificación mantienen en secreto.  Y es que al final, una parte importante del valor de estas herramientas reside en su capacidad de capturar elementos spam generando el mínimo número posible de falsos positivos.

Dónde mirar para identificar un correo spam

Varios son los criterios que se utilizan como referencia a la hora de identificar un correo spam. Entre esos puntos se encuentran elementos como que no hayamos dado permiso a alguien para que nos envíe un mensaje —y menos aún para que nos haga una oferta comercial. También puede ser motivo de clasificación como spam el hecho de que la información del remitente resulte errónea o difícilmente verificable —por ejemplo, que la firma no incluya una dirección física o no proporcione un punto de contacto claramente definido.

Otra de los puntos de interés se encuentra en el uso de determinadas palabras clave que se emplean a menudo en este tipo de mensajes; que se incorporen imágenes que sustituyan al texto que se quiere comunicar; incluso si el correo tiene ficheros adjuntos. Ni que decir tiene que los errores gramaticales —concordancia temporales o personales— suelen ser otro indicador de referencia. Y por supuesto, la detección de errores en las direcciones de destino cuando generan devoluciones de correos por la imposibilidad de ser entregados a sus hipotéticos destinatarios. En conjunto se trata de un recopilatorio de criterios que combinados dan lugar a que más del 80% de los correos en el mundo acaben siendo desechados por las plataformas antispam.

Cuando el spam se mezcla con el 'phishing'

Pese a todo, aún persisten entornos en los que el spam sigue siendo una amenaza poco combatida. Por ejemplo, ¿cuántas personas no han recibido un SMS de publicidad, de activación de servicios premium o, incluso peor, de amenaza de denuncia por impagos con indicaciones para que llame a un número con tarifa con sobrecoste? También estos son mensajes spam.

Algunos fabricantes han decidido incorporar servicios en Android e iOS que permiten discriminar los SMS, aplicando las mismas técnicas utilizadas en los correos electrónicos, aunque para ello necesitan que les permitamos acceder a nuestro buzón de mensajería. Sí, necesitan que les permitamos acceder a nuestro sistema de mensajería — si nos paramos a pensar un poco, conseguirlo no les resultará difícil, ¿verdad? Pero esa es otra cuestión— o en su defecto que les remitamos de forma proactiva aquellos mensajes que consideramos spam.

El objetivo de estos mensajes es mayoritariamente enviarnos publicidad. Pero no se quedan ahí. Es habitual que muchos de ellos persigan fines espurios basándose en técnicas de ingeniería social. En estos casos, las preguntas que debemos hacernos son varias: ¿hemos dado permiso para que nos envíen esos mensajes? —cabe pensar que en ocasiones lo hacemos incluso sin darnos cuenta cuando aceptamos los términos y condiciones de subscripción a un servicio o una aplicación. Y en caso de no haber dado permiso, ¿cómo debemos reaccionar? ¿tenemos que responder o simplemente ignorar el mensaje? Las posibilidades son múltiples.

Es posible derrotar al spam

En la actualidad existen muchas herramientas en el mercado que combaten este tipo de amenazas de Internet. Herramientas que son capaces de analizar miles de parámetros simultáneamente para determinar si un mensaje debe ser entregado a su destinatario en virtud de su interés para el mismo.

El servicio que prestan no resulta menor, a tenor de la cantidad de correos no solicitados que circulan por la red. El ahorro en tiempo y dinero pueden ser significativos.  De hecho, muchas compañías han decidido invertir en plataformas que les resuelven el problema a precios razonablemente asequibles. Invitamos al lector a que las evalúe.

Sin embargo, si pese a ello, usted es de los que cree que este problema no le afecta en absoluto, no nos quedará más remedio que disculparnos por hacerle perder su tiempo. Como acto de reparación, le invitamos a que vea el sketch de los Monty Python que sirvió para dar a conocer el término en el mundo de Internet. Al menos así disfrutará de su humor.

Por Juanjo Galán, Business Strategy de All4Sec