Spam no Facebook: difícil de combater e, até, de reconhecer!

Um dos grandes atrativos da rede social Facebook é facilidade com que qualquer pessoa, mesmo não tendo conhecimentos de programação, pode criar um aplicativo e levar diversão a todos os usuários. Graças a essa característica, cada usuário tem à sua disposição centenas de aplicativos para todos os gostos e estados de espírito.

O problema é que esses aplicativos às vezes são desenvolvidos por picaretas e gente mal intencionada para atingir objetivos escusos abusando da ingenuidade e boa vontade das pessoas. A grande dificuldade é dizer se um aplicativo específico é apenas uma forma inocente de diversão ou se tem algum objetivo oculto. Vejamos um exemplo prático dessa dificuldade:

Na figura acima, vemos um alerta inocente de uma amiga que acessou um aplicativo divertido para “revelar seu nome de índio”. No Facebook, você recebe dezenas ou centenas de avisos desse tipo por dia, por isso, não é possível saber, de antemão, se o aplicativo é “bom” ou “ruim”. A única referência que tenho sobre o aplicativo é a indicação de minha amiga, que não costuma sugerir furadas, por isso decido clicar no link para o aplicativo.

Como se vê na figura acima, o problema aparece logo após você autorizar o acesso do aplicativo a seu perfil – uma etapa obrigatória em todos os aplicativos do Facebook. Nessa etapa, exige-se do usuário que insira seu email e CEP num formulário antes de poder visualizar o seu “nome de índio”.

É nesse momento que você precisa parar e perguntar: “OPA! Pra que diabos eles precisam do meu endereço de email e do meu código postal????”

Esta é uma boa pergunta a ser feita aos autores do aplicativo. Pra que, diabos, vocês precisam do email e do CEP dos usuários? Certamente, essa NÃO É uma informação essencial para o aplicativo funcionar! Como veremos, a geração do nome NÃO É baseada nessas informações!

Na figura acima, você vê a tela intermediária, em que você já enviou os dados para o aplicativo. Nesse ponto, não há mais oportunidade de arrependimento.

Bem, você chegou até o ponto em que recebeu seu nome de índio. Caso não goste do nome, basta clicar em “Obter um novo” quantas vezes quiser. O aplicativo tem um banco de dados com grande quantidade de nomes engraçadinhos e variações, por isso pode clicar à vontade.

Essa característica do programa é a prova de que ele NÃO precisa do seu email e do seu CEP para funcionar e que essa é uma exigência ABUSIVA dos autores do aplicativo.

Finalmente satisfeito com seu “nome de índio”, você clica em compartilhar seus dados no seu perfil, desta forma divulgando gratuitamente o aplicativo para todas as suas centenas de contatos!

Agora pare e pense: o que você REALMENTE fez ao acessar esse aplicativo?

1) Permitiu que desconhecidos tivessem acesso a seus dados de perfil. Especificamente, seu sexo e sua idade, duas variáveis importantíssimas para quem trabalha com marketing.

2) Ao revelar seu CEP, você abriu sua localização geográfica (cidade e estado), outra informação importantíssima para quem trabalha com marketing. Por exemplo, uma definição típica de público-alvo de marketing seria “Mulheres de 18 a 25 anos moradoras da cidade de São Paulo”.

3) Divulgou seu email para pessoas desconhecidas, sem que elas dissessem o que pretendem fazer com essa informação.

4) Vocẽ fez propaganda gratuita do aplicativo possibilitando que todos os seus amigos e conhecidos também possam fazer a mesma coisa que você,

5) Agora, pasme: você fez TUDO ISSO em troca de uma promessa de uma frasezinha engraçada no seu mural do Facebook!

É lógico que os autores desse aplicativo específico podem ser bem intencionados e tudo mais.

Mas você há de convir que não há NADA que os impeça de vender todos os emails coletados por intermédio desse aplicativo para anunciantes e spammers, pois foi VOCÊ quem cedeu as informações sem exigir uma única garantia de privacidade sequer!

Por isso, o mínimo que posso recomendar a você nesses casos é que, pelo menos, jamais insira informações críticas nos formulários desses aplicativos. Caso solicitado, escreva apenas seu primeiro nome e, mesmo assim, pense duas vezes se realmente precisa de mais uma frase engraçadinha no seu mural do Facebook.

Até que ponto seu antivírus pode proteger sua máquina de você mesmo?

Já defendi no post “Spam e vírus: esse problema tem solução” que a proteção do seu computador depende muito mais do seu comportamento como usuário de internet do que dos programas antivírus sofisticados e caros que você eventualmente tenha instalado em sua máquina.

O motivo é muito simples: as pessoas que desenvolvem vírus também costumam fazer testes de seus “produtos”, para verificar se eles conseguem burlar a vigilância das versões mais atuais de pelo menos de alguns dos antivírus mais populares.

Ao enviar milhões de cópias de um spam mail contendo o anexo infectado ou um link para um site “drive by” (1), o spammer sabe que alguns milhares de seus destinatários confiam nas soluções antivírus que sua criação consegue enganar. Deste modo, há uma grande probabilidade de que seu “ataque de dia zero” (2) seja um sucesso, infectando grande número de computadores.

O grande risco a que se expõe o usuário descuidado é que seu programa antivírus simplesmente ignore a ameaça que está tentando se instalar em seu computador, deixando-o à mercê das intenções criminosas do criador do vírus.

Veja que essa não é uma questão de procurar um “antivírus melhor”. Se você percorrer os fóruns da internet em busca de informações sobre antivírus, você vai ver discussões tão apaixonadas como as de torcedores de times de futebol rivais, com usuários dos diferentes produtos defendendo suas preferências com uma devoção que chega a se aproximar do fanatismo.

De fato, se você pesquisar a questão mais a fundo, encontrará organizações que fazem testes independentes dos diferentes produtos antivírus, como o respeitado AV Comparatives.

Os testes do AV Comparatives são realizados com uma metodologia rigorosíssima, mas nem todo mundo é capaz de compreender exatamente o que está sendo testado, nem de compreender completamente os resultados.

Se você tiver paciência para destrinchar os relatórios antigos da AV Comparatives você vai reparar rapidamente que, muitas vezes, um produto “Advanced+” em um teste é rebaixado para um nível inferior no teste seguinte, enquanto alguns produtos mal avaliados em um teste vão progredindo até conseguir as pontuações mais altas.

Assim, podemos que dizer sem medo de errar que não existe uma “marca melhor” de antivírus, já que toda superioridade é circunstancial e os concorrentes correm atrás para cobrir a diferença de desempenho...

Sempre lembrando que os criadores de vírus também estão sempre correndo atrás de métodos para enganar as versões “novas e melhoradas” dos programas antivírus.

Também é absolutamente falso o mito muito difundido de que só os antivírus pagos são bons, enquanto as versões gratuitas oferecem proteção inferior. Versões gratuitas de programas antivírus como o Avast, AVG, Avira, Kaspersky ou BitDefender oferecem proteção tão boa quanto as versões pagas dos mesmos programas (as versões pagas vêm com opções extras, não com mecanismos de detecção superiores) ou quanto programas somente disponíveis em versões pagas, como os tradicionais Norton, McAfee e Trend Micro, ou o novo "queridinho dos internautas", o NOD32, da ESET.

Por isso, nunca é demais enfatizar que você pode estar com o melhor antivírus do mundo e, ainda assim infectar seu computador, bastando agir de forma descuidada. Escolha um bom antivírus para obter a proteção básica e comece a vigiar o maior fator de risco, que é o seu próprio comportamento online.

Ao longo deste artigo, você pôde ver resultados de meus próprios testes ao baixar vírus da internet. É lógico que não se pode comparar a minha experiência individual com a metodologia rigorosa do AV Comparatives.

O que quero deixar claro para você é outra coisa bem diferente: mesmo que você tivesse escolhido o melhor antivírus do ranking do AV Comparatives, seu computador, hoje, estaria infectado com mais de uma dezena de cavalos de tróia diferentes caso tivesse clicado nos links que eu cliquei e visitado os sites que eu visitei no último mês!

Para infectar seu computador, basta um descuido. Por isso é preciso ir além da preguiçosa instalação de softwares de proteção imperfeitos e começar a confiar mais em desenvolver sua percepção das estratégias dos golpistas e criminosos que infestam a internet. Quanto mais você tiver consciência das artimanhas desses sujeitos, mais protegido você estará, inclusive contra os mais sofisticados ataques de dia zero.

----
Notas:

(1) “Drive by attack” é um método de instalação de vírus sem conhecimento do usuário: basta acessar o site para que sua máquina seja infectada.
(2)"Ataque de dia zero" ("Zero day attack") é o ataque que explora uma vulnerabilidade ainda não detectada no sistema, por exemplo, usando um vírus não detectado pelo seu software de segurança.

Xuxa não está com gripe suína

Ao contrário do que diz a mensagem falsa acima, os apresentadores Luciano Huck (e não Luciano "Hulk", como escreveu o spammer) e Angélica também não estão com o vírus da gripe suína.

Por outro lado, se você acreditar que a mensagem veio mesmo do G1, bastará acessar o link para seu computador seja contaminado com um vírus de verdade - o trojan idenficado pelo antivírus AVIRA como TR/Crypt.FKM.Gen.

Esse é apenas um entre muitos casos semelhantes por isso vale a pena chamar sua atenção para o fato de que todo evento importante envolvendo uma celebridade costuma atrair a atenção dos spammers.

Os spammers também acompanham o noticiário e, sempre que alguma notícia mobiliza grande número de pessoas, começam a surgir emails falsos. O spammer promete algum "furo", uma abordagem "exclusiva", um "ângulo especial", alguma informação extra sensacional sobre tema que esteja em voga, sabendo que bastará um clique para infectar sua máquina.

Assim, esteja atento para spams que prometem notícias ou fotos sobre o terremoto no Haiti. Como podem ver, até "notícia velha" como a gripe suína ainda são capazes de atrair a atenção de usuários descuidados, enquanto as notícias "quentes" têm potencial para enganar até usuários mais experientes.

“Muy amigo” envia convite para instalar um cavalo de tróia

O tipo mais perigoso de spam é aquele enviado por um amigo. Veja um exemplo na figura a seguir (clique para ampliar):

O email acima chegou a partir do endereço real do Hotmail de um amigo meu, com cópia para todos os contatos dele no MSN.

Obviamente, se você clicar nos links da mensagem, fará download de um cavalo de tróia. Mas o ponto a que quero chegar é outro: mesmo que você já esteja vacinado contra as artimanhas dos spammers, uma mensagem que chega com o nome e email de um amigo pode pegá-lo desarmado.

Em primeiro lugar, muito provavelmente os endereços de email dos seus amigos já estão todos na “lista branca” de “remetentes confiáveis” do seu filtro antispam, de modo que suas mensagens são entregues diretamente à sua caixa de entrada sem outra verificação.

Em segundo lugar, a visão de um nome conhecido reforça naturalmente sua confiança e relaxa suas defesas psicológicas, aumentando a chance de de que você não perceba os truques sujos dos spammers.

Por isso é extremamente importante que você não envie spam para seus amigos, nem aceite que eles enviem spam para você.

“Como? Você está me chamando de spammer?”

Pode ser difícil aceitar, mas o fato é que toda vez que você passa adiante uma mensagem “para o maior número possível de pessoas”, você está enviando spam para seus amigos.

Afinal de contas, que tipo de amigo é você, se você sequer está disposto a ter o trabalho de enviar uma mensagem pessoal?

As pessoas gostam de se sentir importantes, gostam de saber que você está pensando nelas, que você fez um esforço especial para atrair a atenção delas e de mais ninguém. Quando você se limita a incluir todos os endereços de sua lista em um email, você está dizendo aos amigos que nenhum deles é importante o suficiente para merecer uma mensagem pessoal.

Ou será que você tem algum amigo chamado Undisclosed Recipients?

Não importa se você está enviando animações engraçadinhas, fotos espetaculares, piadas engradíssimas ou notícias superimportantes: tudo isso perde a graça e o encanto quando a mensagem não é dirigida a você.

Minha sugestão é que você mude a maneira de tratar seus amigos. Para começar:

1 - Abandone o péssimo hábito de “repassar” mensagens e escreva mensagens originais. Um bilhetinho pessoal, escrito com o coração, vale mais do que essas piadas velhas que circulam na internet há pelo menos 10 anos e só você ainda não tinha ouvido.

2 – Se você tiver algo muito interessante a dizer, que queira compartilhar com vários amigos (jamais com “todos”) via c.c., cite o nome de todos eles na mensagem, dizendo porque você pensou que ele iria achar interessante. Ao fazer isso, você naturalmente vai limitar o conjunto dos destinatários a um máximo de 5 ou 6.

3 – Se você realmente quiser enviar uma mensagem padrão para “todos” os seus amigos”, envie uma mensagem separada para cada um. Esqueça que existem aqueles campos CC e BCC. Eles são antipáticos e impessoais. Por isso devem ser usados apenas em empresas, no envio de mensagens para “todo o departamento”, para “A Diretoria”, etcétera, jamais para importunar amigos com piadas velhas e "belíssimas" animações em PPS.

Se você começar a adotar já essa pequena mudança de comportamento, você notará que o número de cavalos de tróia e vírus no seu computador vai cair a zero, enquanto o número de amigos que realmente acham que você é uma pessoa especial vai subir estratosfericamente.

SPAM: reclamar adianta?

Sim, reclamar ajuda a combater o spam!

Melhor do que falar e filosofar é mostrar o resultado. Clique na imagem acima para ampliar a imagem e ler a resposta da Microsoft a uma reclamação de spam que enviei há poucos dias.

Outro exemplo, desta vez do Yahoo Mail, mais uma resposta positiva.

O fato é que NÃO enviar reclamações NÃO vai ajudar a melhorar o seu problema do spam na rede. Ao contrário, esses exemplos mostram que os provedores de serviços de email, os provedores de acesso à internet e os serviços de hospedagem de site têm o máximo interesse em ajudar a combater o spam.

Quando você envia uma reclamação para essas partes interessadas, elas investigam o caso e tomam as devidas providências.

O problema é: a quem reclamar? Como identificar essas “partes interessadas” no combate ao spam?

Se você já tentou enviar uma reclamação para um spammer, certamente já verificou na prática o tamanho do problema. A maior parte dos spams são enviados com emails falsos, já que os spammers gostam de encher sua caixa postal de lixo, mas detestam receber emails com reclamações. Assim, eles fazem tudo o que podem para dificultar a identificação do email que usaram para enviar o spam.

O trabalho de identificar o real remetente de um email envolve a análise dos endereços IP das linhas de cabeçalho do email recebido, para descobrir o caminho percorrido entre o computador que enviou a mensagem e a sua máquina.

Essa tarefa é relativamente simples, mas é trabalhosa e requer conhecimentos técnicos que a maioria das pessoas não está disposta a aprender.

Além disso, precisamos considerar que os spammers costumam criar linhas de cabeçalho falsificadas, com endereços IP aleatórios, para confundir o analista pouco experiente.

Finalmente, se você quisesse enviar reclamações para cada uma das dezenas ou centenas de spams que você recebe diariamente, você teria que se dedicar a essa tarefa em tempo integral, uma possibilidade que está fora de cogitação para a maioria das pessoas.

Por isso, você precisa de uma solução automatizada, que identifique o IP do remetente e permita que você identifique a quem deve reclamar com um único clique.

Existe um programa que facilite a minha vida para enviar reclamações de Spam?

Felizmente essa solução existe e, inclusive, se encarrega até de enviar sozinha o email para a pessoa certa! Trata-se da extensão antispam para o cliente de email Mozilla Thunderbird chamada SPAMCOMPLAINT.

O Spam Complaint é fácil de instalar, seguindo o padrão de todas as outras instalações de extensões do Mozilla Thunderbird: (1) baixe o arquivo XPI do site da Mozilla, (2) Clique em Ferramentas → Extensões → Instalar (3) Reinicie o Thunderbird.

Após reiniciar o Thunderbird, você terá, no menu “Ferramentas”, um submenu chamado “Spam Complaint”. Entre nesse menu e clique em “GUI” (graphic user interface = interface gráfica para o usuário) para abrir o programa.

A interface gráfica é simples e enxuta, como pode ver, com quatro “abas” para separar diferentes áreas do programa. Antes de enviar a primeira reclamação, você precisa apenas configurar a conta de email que o programa vai usar para enviar as reclamações (aba “Mail Account”) e o modelo de mensagem de reclamação que será enviado (aba “Templates”).

O programa já vem com um modelo de mensagem de reclamação em inglês. Como recebo muitas mensagens de spammers brasileiros, acrescentei uma versão em português como você pode ver na figura acima.

Após proceder a essa configuração, você já está pronto para enviar suas primeiras reclamações de spam. Basta selecionar as mensagens de que deseja se queixar, clicar nelas com o botão direito do mouse e clicar em “Spam Complaint → Load selected Messages”. As mensagens serão carregadas na interface gráfica, para que você possa revisá-las. É bom revisar sua seleção porque, caso você tenha incluído alguma mensagem “boa” por engano, você terá a oportunidade deletá-la do programa sem enviar a reclamação.

Finalmente, você só precisa clicar no botão azul da aba Send Complaints e observar o programa em ação, identificando os spammers e enviando mensagens para os provedores.

Reclamar adianta e é muito fácil reclamar... O que está esperando para começar?

Como pode ver, o programa é muito fácil de usar e permite que você, com um esforço mínimo, comece a causar prejuízos para os spammers ao ajudar as autoridades que se dedicam a combatê-los.

De minha parte, estou usando essa extensão há cerca de 3 semanas e já enviei 1239 reclamações de spam, com várias respostas positivas, como você pôde ver no início deste artigo.

Por isso, se você estava apenas precisando saber se “reclamar adianta” na luta contra o spam, você tem agora a resposta e o meio certo para enviar suas reclamações.

Finalmente, se você está curioso para saber os detalhes técnicos da análise dos cabeçalhos de spam, veja uma explicação completa em http://spam.abuse.net/userhelp/howtocomplain.shtml.

Google certifica farmácias que vendem Viagra ilegalmente?

Veja se dá para acreditar na cara de pau desses spammers... O pior é que tem muita gente que vê um email desses, acredita, vai ao site e compra o produto lá. Depois vão querer reclamar com o Google...

E-mail marketing só não é spam com dupla opção de receber (double opt-in)

Hoje recebi uma reclamação de uma empresa, porque a denunciei em um fórum público por envio de emails não solicitados. O dono da empresa alegou que já me conhecia e perguntou muito indignado "porque eu não falei com ele antes de publicar a denúncia".

Devolvo a pergunta: por que ele não falou comigo antes de começar a me enviar emails não solicitados - a me enviar SPAM?

O que os empresários brasileiros precisam saber é que não adianta reclamar:

Uma vez que você faz a opção de comprar listas de emails para promover seu site e seus produtos, você está sujeitando sua empresa ao risco de ser denunciada pelos destinatários.

No caso em questão, foi uma denúncia em fórum público que irritou o empresário, mas ele precisa entender que esse é o menor dos males. Os emails dessa empresa são filtrados pelo GMAIL, sendo entregues diretamente à pasta de SPAM.

Ficar irado comigo não muda o fato de que 

o Google está dizendo para todo mundo que sua empresa envia SPAM.

A única forma de email marketing que não deve ser considerada SPAM é a que envolve a DUPLA OPÇÃO DE RECEBER (double opt in).


O double opt in funciona da seguinte forma:


1 - Você pergunta ao visitante do seu site, no momento em que ele preenche um formulário, se ele quer receber seus informativos. Se ele não marcar a opção, você não envia emails para ele e ponto final.


2 - Após ser feita a opção de receber, você envia um e-mail para o endereço informado, com um link de confirmação. Você só começará a enviar emails para o endereço dessa pessoa DEPOIS que ela visitar o link. Afinal, algum engraçadinho pode ter visitado o seu site e digitado o endereço de outra pessoa, com a intenção de incomodá-la.


Ou seja, o visitante do seu site precisa afirmar que quer receber suas "newsletters" e confirmar clicando em um link que receberá em sua caixa postal. Antes disso, você não enviará emails para essa pessoa.


Se você resolver "pegar um atalho" comprando endereços de email e enviando mensagens em massa sem pedir autorização, não poderá reclamar se o endereço do seu site começar a aparecer nas listas negras de spammers.


Aliás, embora alguns spammers estejam afirmando o contrário com a intenção de confundir, o "Manual de Boas Maneiras" da ABEMD (Associação Brasileira de Marketing Direto) é claro e inequívoco a esse respeito:


"3. Opt in.

O primeiro recebimento é muito importante, porque marca o início da relação. É preciso ter permissão prévia (opt-in) antes do envio da primeira mensagem ao receptor. No caso de existir prévia e comprovável relação comercial ou social entre o Remetente e este Receptor, o envio de mensagem também é permitido."


Ou seja, sem sofisma, não envie e-mails sem permissão prévia e você nunca entrará em listas negras de spammers. Se decidir fazê-lo, esteja pronto para arcar com as conseqüências de ver o nome de sua empresa ao lado dos piores golpistas, estelionatários e demais criminosos da internet.