FSF, Gmail hesabından 10 binden fazla spam e-posta gönderilmesi sorunu nedeniyle Google ile iletişime geçmeye çalışıyor

 (daedal.io)
1 puan yazan GN⁺ 12 일 전 | 1 yorum | WhatsApp'ta paylaş
  • Free Software Foundation (FSF), bir Gmail hesabı üzerinden büyük miktarda spam e-posta gönderildiğini doğruladı
  • Söz konusu hesaptan 10 binden fazla e-posta gönderildiği bildirildi
  • FSF, sorunu çözmek için Google ile doğrudan iletişime geçmeye çalışıyor
  • Spam göndericisinin, Gmail’i kullanarak FSF adına e-posta gönderdiği anlaşılıyor
  • Açık kaynak kuruluşlarında güvenilirlik ve e-posta güvenliği yönetiminin önemini yeniden gündeme getiren bir olay

Olayın özeti

  • FSF, bir Gmail hesabının kötüye kullanılmasıyla büyük miktarda spam e-posta gönderildiği olayını doğruladı
  • Gönderimin kurum içi sistemlerden değil Gmail üzerinden yapılmış olması, harici bir hesabın ele geçirilmiş olabileceği ihtimalini gündeme getiriyor
  • FSF, hemen Google ile iletişime geçmeye çalışarak hesabın engellenmesi ve nedenin belirlenmesi sürecini yürütüyor

Etki ve müdahale

  • Spam e-postalar FSF adına gönderildiği için kuruluşun güvenilirliğini etkileyebileceği endişesi var
  • FSF, üyelerine ve abonelerine şüpheli e-postaları açmaktan kaçınmalarını tavsiye etti
  • Google’ın vereceği yanıta göre ek güvenlik önlemleri ve duyuruların yapılması bekleniyor

İlgili okumalar

1 yorum

 
GN⁺ 12 일 전
Hacker News görüşleri

  • Birinin benim adımı ve işletmemi taklit ederek bir Gmail adresi üzerinden dolandırıcılık girişiminde bulunması sorununu çözmek için, bir polis raporu hazırlayıp bunu iadeli taahhütlü postayla Google hukuk ekibine gönderdim
    Bu süreç oldukça zahmetliydi ve yaklaşık 3 saat sürdü, ancak başka bir yol olmadığı için gerekli bir prosedürdü

    • Bu olay yaklaşık bir ay önce yaşandı. Belki yardımcı olur diye gönderdiğim adresi paylaşıyorum
      Google LLC, Attn: Legal Department – Custodian of Records, 1600 Amphitheatre Parkway, Mountain View, CA 94043
      Mektupta sorunu ve talep ettiğim işlemi (ilgili Gmail hesabının kapatılması ve IP saklama talebi) yazdım; dolandırıcılıktan etkilenen kişinin gönderdiği e-posta dizisinin çıktısını ve polis raporunu ekledim
      Yaklaşık bir hafta sonra Google bana ulaştı ve hesabın kapatıldığını doğruladı. Ancak veri saklama ya da başka hizmetlerle ilgili işlem yapılıp yapılmadığını bilmiyorum
      FBI’ın Internet Crime Complaint Center birimine de başvurdum ama dürüst olmak gerekirse bu sadece şeklen yapılan bir prosedür gibi hissettirdi
    • İyi bir fikir gibi görünüyor. Benim de YouTube Premium hesabım kilitlendi ama ücret alınmaya devam edildi
      Destek ekibiyle iletişime geçmek için giriş yapmak gerektiğinden, sonunda kredi kartı numaramı değiştirmekten başka çarem kalmadı
      Buna rağmen tahsilatlar devam etti; sonunda kart şirketi hesabı tamamen kapatmam gerektiğini söyledi
    • Böyle yapılmalı. Belge izi (paper trail) tüm sorumluluğu netleştirir
    • Acaba mektupta avukat olduğunuzu belirttiniz mi? Google bunu bir hukuk bürosundan gelen evrak olarak algıladıysa farklı davranmış olabilir
    • Peki o kişinin yeni bir Gmail adresiyle tekrar denemesini engellemenin bir yolu yok muydu diye merak ediyorum

  • Google, Amazon ve Microsoft’a kötüye kullanım bildirimi yapmayı denedim ama vazgeçtim
    Bildirimler görmezden geliniyor ve büyük sağlayıcılar hiçbir işlem yapmıyor. FSF’nin devreye girip bir şeyi değiştirmesini umuyorum
    Bugün spam’in başlıca kaynağı bu üçü. O kadar büyüdüler ki artık engellemek bile mümkün değil
    Bunun bizim göz yummamızın sonucu olduğunu düşünüyorum. Bu tartışmada da çoğu kişi Gmail’i ana e-posta hesabı olarak kullanmıyor mu?

    • YouTube’da birkaç gün boyunca bot hesapları bildirdim ama karşıma sadece “çok fazla asılsız bildirim yaparsanız askıya alınabilirsiniz” uyarısı çıktı
      Google’ın gerçekten botlarla mücadele edemediğinden değil, baştan hiç denemiyormuş gibi göründüğünden şüpheleniyorum
    • Bu fiilen bir tekel (monopoly). Bağımsız kalmak için kendi posta sunucusunu işletenler var ama Gmail bunları sık sık spam olarak sınıflandırıyor
      DMARC gibi standartların ironik biçimde büyük şirketlere daha fazla güç vermesi endişe verici
    • Ben değilim ama çoğu insan ayda 10 dolar ödemeye yanaşmıyor
      Bir e-postanın değerini bir bardak bira parası kadar görüyorlar

  • Şirketimizin satış ekibi Gmass kullanarak toplu e-posta gönderiyor; spam şikâyeti çok olursa Google hesabı askıya alıyor
    Google’ın e-posta kötüye kullanımını izlediğine dair dikkate değer bir veri noktası olduğunu düşünüyorum

    • Buna “güçlü izleme” demek zor. Gmass gibi araçların var olması bile utanç verici
    • Anlattıklarınıza bakılırsa şirketinizin satış ekibi fiilen spammer gibi duruyor
    • Satış ekibinin gönderdiği postaların cold email mi yoksa mevcut müşterilere mi gittiğini merak ediyorum
    • Spam bildirimi yalnızca Gmail web arayüzünden yapılabildiği için, FSF gibi kuruluşların bildirim yapması zor
    • Eğer izleme yalnızca Gmail içinde çalışıyorsa, Gmail dışı kullanıcıların Gmail kaynaklı spam’i bildirme yolu yok
      Google, posta ekosisteminin alıcı tarafında olumsuz etki yaratıyor

  • Son 2-3 yıldır 4 postfix sunucusu işletirken gözlemlediğim kadarıyla, Gmail artık beyaz listeye alınamayacak düzeyde
    Spam ve phishing çok fazla
    Öte yandan, bir kullanıcı Twitter ya da LinkedIn bildirimlerini Gmail’e yönlendirirse Google “çok hızlı gönderim” diyerek IP’yi engelliyor
    Gerçekten acı komik bir durum

  • Son zamanlarda sunucumdaki kişisel posta hesaplarının kısa sürede büyük miktarda e-posta aldığını gördüm
    Hepsi Google Groups üzerinden iletilmişti; grup ID’si her seferinde farklıydı ve sonradan bakınca grup silinmiş oluyordu
    Mesajların içeriği meşru otomatik yanıtlar gibi görünüyor, kötü amaçlı bağlantı ya da reklam da yok
    Muhtemelen bir bot Google grubu oluşturup rastgele e-posta adreslerini abone yapıyor, sonra da çeşitli web formlarına bu adresleri giriyor
    Nasıl çalıştığını anlıyorum ama neden bu kadar zahmete girdiklerini merak ediyorum

    • Bu neredeyse kesin olarak subscription bombing. Kurbanın gelen kutusunu meşru otomatik e-postalarla doldurup önemli mesajları (örneğin parola sıfırlama) fark etmemesini amaçlayan bir saldırı
    • Ben de aynı sorunu yaşadım. Biri yanıt verdiğinde tüm aboneler o postayı alıyor ve “lütfen beni listeden çıkarın” yanıtları yağmaya başlıyor
      Sonunda abonelikten çıkma kuralları oluşturarak engelledim

  • IT topluluğunun, Gmail gibi “engellenemeyecek kadar büyük” hizmetleri düşmanca varlıklar olarak görüp engellemesinin zamanı gelmedi mi diye sormak istiyorum

    • Aslında “IT topluluğu” diye bir şey yok. IT çalışanlarının çoğu Google ya da benzeri şirketlerin içinde yer alıyor
      Bu yüzden böyle bir değişim yalnızca teoride mümkün bir şey.
      Fiziksel dünyada değişimi kuvvet ve kütleyle açıklarız ama insanlar söz konusu olunca sadece “keşke olsa” temennileri dile getiriliyor
    • Microsoft meşru e-postaları bile hotmail.com’a iletmiyor
      SPF, DMARC, DKIM hepsini ayarladım ve spam de göndermiyorum ama yine de engelleniyorum
      Bu yüzden hotmail kullanıcılarına sadece telefonla ulaşıyorum

  • Bana her 5 dakikada bir spam araması geliyordu ama saldırgan yanlışlıkla bir AWS bucket URL’si bırakmıştı
    Amazon’a abuse bildirimi yapınca spam grubu hemen dağıtıldı ve o günden beri aramalar durdu
    Bildirim yaparken “müstehcen veya uygunsuz görseller içeriyor” derseniz daha hızlı işleme alınabilir

  • Gmail, Outlook ve Salesforce tüm spam’in %90’ını oluşturuyor
    Salesforce ağ düzeyinde engellemeyle çözüldü ama Gmail ve Outlook için bir çözüm yok

    • Eskiden Azure ya da Sendgrid’den de çok spam gelirdi ama şimdi neredeyse kalmadı
      Artık spam’in %80’i Google Cloud kaynaklı
    • Salesforce, Gmail tarafından beyaz listeye alınmış gibi görünüyor. Çok fazla işe yaramaz e-posta var
    • Mailchimp de aynı. Şimdiye kadar aldığım Mailchimp e-postalarının içinde spam olmayan tek bir tane bile olmadı

  • Gerçekte geriye kalan tek yöntem, sorunlu hesapları topluca bildirecek bir bot bildirim hizmeti kiralamak

  • Son zamanlarda “.bc.googleusercontent.com” alan adından gelen spam’de patlama yaşanıyor

    • Posta sunucusu yapılandırmasına göre değişir ama ben olsam googleusercontent.com’dan gelen tüm e-postaları 5xx ile reddederdim
      Google, OpenBSD posta listesini spam olarak sınıflandırdıktan sonra kendi MX sunucumu işletiyorum
      Müşterileriniz varsa logları analiz edip meşru trafik olup olmadığını kontrol edin; varsayılan olarak spam diye işaretlemek mantıklı olur
      İçeride Google kullanan bir workflow varsa bunu VPN ya da başka bir yöntemle değiştirin
      İdeal olan, googleusercontent.com alan adının tamamını SMTP düzeyinde engellemek
      Ancak eski sistemler olabilir; bu yüzden birkaç ay boyunca kademeli test yapabilir ya da hepsini bir anda engelleyip sonucu gözlemleyebilirsiniz