- Die kostenlose Blogging-Plattform Bear wird wegen der niedrigen Zugangshürde zum Ziel von Backlink-Farmen, Phishing, dem Verkauf illegaler Drogen, Werbung für Online-Casinos und Krypto-Promo-Spam
- Mit no-index, no-follow und dem Ausschluss aus Feeds ließ sich die Sichtbarkeit verringern, aber es war schwer zu verhindern, dass Spam-Inhalte überhaupt auf die Plattform gelangen
- Eine auf Akismet basierende Blockierung war wirksam, verursachte aber das Problem, dass Sperrmeldungen Spammern Hinweise zur Umgehung gaben
- Die „Frustration Loop“ verschwendet statt zu blockieren die Zeit der Spammer, indem Formulare zurückgesetzt, Einfügen deaktiviert, der Fokus verschoben und wiederholt Fehler angezeigt werden
- Nach der Einführung sank der Spam-Anteil bei neuen Blogs von etwa 30 % auf unter 5 %, und in drei Monaten meldete nur ein einziger Nutzer ein Problem — ein Werbetreibender für Online-Casinos
Warum Bear zum Spam-Ziel wurde
- Bear ist kostenlos nutzbar, daher ist die Anmeldung einfach — und entsprechend viele Spammer versuchen, die Plattform zu missbrauchen
- Der Spam ähnelt weniger einfachem Bot-Traffic als vielmehr Spam-Farmen, bei denen man auf Fiverr etwa „100 Backlinks“ kauft
- Hunderte schlecht bezahlte Arbeitskräfte reichen Inhalte im ganzen Web ein
- Das Ziel ist ein besseres SEO-Ranking, auch wenn der tatsächliche Effekt wohl gegen null geht
- Bear hat eine erste Verteidigungslinie, damit Spam selbst dann nicht im weiteren Internet sichtbar wird, wenn er veröffentlicht wird
- Nicht überprüfte Blogs erhalten no-index- und no-follow-Tags
- Sie erscheinen weder in der Sitemap noch im Discovery-Feed
- Wenn Nutzer eine Überprüfung anfordern, kann dieser Status aufgehoben werden
- Unabhängig davon, die Sichtbarkeit zu verhindern, wollte man aber auch die bloße Existenz von Spam-Inhalten auf der Plattform selbst reduzieren
Nicht blockieren, sondern Umgehung ausbremsen
- Zur Spam-Erkennung wird Akismet verwendet, ein Tool aus dem WordPress-Umfeld
- Es wurde versucht, mit GPT4 ein eigenes Erkennungssystem zu bauen, doch das war ungenauer als Akismet und zugleich teurer
- Danach wechselte man zu einem Akismet-Abonnement
- Das Blockieren bereits beim Anmeldezeitpunkt half teilweise, aber mit der Zeit lernten die Spammer, darauf zu reagieren
- Eine Sperre wird zum Signal dafür, welche Inhalte hängen bleiben
- Spammer geben sich dann zunächst als legitime Blogs aus und platzieren Spam später in Bereichen mit schwächerer Kontrolle
- Am Ende musste man sie dennoch manuell finden und kennzeichnen
- Auch IP-Sperren sind wenig wirksam
- Spammer nutzen kommerzielle VPNs wie Nord
- Allein Nord VPN hat weltweit Hunderte Server, sodass sich Spam per IP-Blockade kaum stoppen lässt
- Wenn man Beiträge bestimmter IPs sperrt, können auch normale Nutzer blockiert werden
So funktioniert die „Frustration Loop“
- The Frustration Loop sperrt ein Blog bei erkanntem Spam nicht sofort, sondern lässt es wie einen Systemfehler oder ein Fehlschlagen wirken, um Nutzer zu zermürben
- Die Idee stammt von The Password Game
- Wird Spam erkannt, wird das Formular geleert und ein Fehler wie „Our servers are bearly managing. Try again later.“ angezeigt
- In allen Textfeldern wird Einfügen deaktiviert
- Alle 5 bis 10 Sekunden wird der Eingabefokus auf ein anderes Feld verschoben, sodass beim Tippen plötzlich an der falschen Stelle Text erscheint
- Bei erneutem Absenden erscheint ein anderer Fehler wie „Ensure content contains necessary parameters.“
- Dieser Ablauf wiederholt sich, bis die Person annimmt, die Software sei kaputt, und aufgibt
- Es gilt als unwahrscheinlich, dass das bei normalen Nutzern ausgelöst wird
- In Tests ließ es sich nur aktivieren, wenn man sich ausdrücklich verdächtig verhielt
- Im Produktivbetrieb lief es drei Monate, und nur ein Nutzer meldete ein Problem
- Dieser Nutzer war mit Werbung für Online-Casinos beschäftigt
Ergebnisse und verbleibende Lücken
- Nach der Einführung sank der Spam-Anteil unter neuen Blogs von etwa 30 % auf unter 5 %
- Es ist keine perfekte Lösung; es gibt weiterhin Verbesserungsbedarf und Lücken, die geschlossen werden müssen
- Zwar besteht die Sorge, dass potenzielle Spammer die Methode nach der Veröffentlichung umgehen könnten, doch man geht davon aus, dass Spammer diesen Blog ohnehin nicht lesen
1 Kommentare
Meinungen auf Hacker News
Erinnert mich an Newsvine[2], eine frühe Community-News-Site, die 2006 von meinem früheren ESPN-Kollegen Mike Davidson[1] gegründet wurde.
Newsvine hatte Kommentare, Empfehlungen, Link-Einreichungen und die Möglichkeit, Artikel zu schreiben; es war im Grunde ein newszentrierter Dienst wie Reddit. Um Spammer und Trolle in den Griff zu bekommen, markierte man Nutzer im Backend als Trolle, woraufhin bei jedem Seitenaufruf dieses Accounts eine zufällige Verzögerung von 10 bis 60 Sekunden eingebaut wurde. Soweit ich mich erinnere, reduzierte das die Probleme ziemlich wirksam.
1- http://mikeindustries.com/blog/
2- https://en.wikipedia.org/wiki/Newsvine
Jemand, der aus völlig anderen Gründen im Backend als Troll markiert wurde, könnte dann Verzögerungen erleben, wenn er mit Regierungsbeamten interagiert. Eine Verzögerung ist nicht dasselbe wie eine Sperre, aber ich frage mich, ob ein Bundesrichter die Beeinträchtigung der User Experience als hinreichend ähnlich ansehen würde.
Historisch konnten Wohlhabende, die Hof- bzw. Protokollschicht und die Müßiggangsklasse mehr Aufmerksamkeit kaufen und haben deshalb fortlaufend allerlei Lärm verbreitet, der ihnen gerade in den Kopf kam. Inzwischen übersteigt die Menge produzierter Inhalte die Menge konsumierter Inhalte so stark, dass für nichts mehr genügend Aufmerksamkeit übrig bleibt.
Wenn 99 % der Kommentare und Links auf HN von niemandem gelesen werden, würden die brillanten Genies, die HN betreiben, uns das sagen? Plattformen haben allen kostenlose Senderechte gegeben, ohne selbst zu wissen, was sie da bauen, und nun können nicht nur Reiche, sondern alle kostenlos spammen und trollen. Übrig bleibt nur Lärm; man kann dazu den UN-Bericht zur Aufmerksamkeitsökonomie lesen.
Es scheint, als sei der einzige Grund für die Entstehung solcher sinnlosen Systeme, die die Zeit und Energie aller verschwenden, dass eindimensionale Software Engineers Systeme schnell bauen und skalieren konnten.
Ich habe über sechs Jahre intern bei Akismet gearbeitet.
Akismet ist sehr gut bei der Erkennung von Kommentar-Spam, aber wenn es Anmelde-Spam gut erkannt hätte, hätte es auf wordpress.com nicht so viele Spam-Blogs gegeben.
Ich habe mit Suchmaschinen, kuratierten Begriffsliste und von Entwicklern bereitgestellten Tools Spam-Blogs aufgespürt und Tausende echter Spam-Blogs gesperrt. Fehler gab es gelegentlich, aber selten.
Später entstanden einige Automatisierungstools, aber dieses Jagen und Sperren rutschte in der Prioritätenliste nach unten. Am Anfang musste wordpress.com sauber aussehen, um wachsen zu können; als man der Ansicht war, groß genug zu sein, hörte man damit gewissermaßen auf. Ich wusste, dass es etwa so wirksam war, wie ein brennendes Auto mit einer Wasserpistole zu löschen, aber es dauerte nicht lange und war ziemlich befriedigend.
Um diese Jahreszeit durchsuchte ich Halloween-Spam-Blogs, und auch Christmas-Spam-Blogs tauchten allmählich auf.
Ich nutze eine einfache Methode, um E-Mail-Spam ohne Drittanbieter-Filter loszuwerden.
Ich habe eine eigene Domain für E-Mail und ein Catch-all-Konto, das alle Mails an diese Domain annimmt. Stattdessen gebe ich jeder Site und jedem Dienst eine andere Adresse, etwa sitea@mydomain.com oder site2@mydomain.com.
So kann ich Mails zuverlässig automatisch nach Absender-Kontext sortieren, und ich erstelle die Namen, die ich vergebe, in einem konsistenten Format; zufällige Mails, die nicht zu diesem Format passen, werden sofort gelöscht, ohne dass ich sie überhaupt sehe.
Spam kommt fast gar nicht an, aber wenn ein Dienst die Adresse leakt, ändere oder kündige ich die E-Mail dieses Dienstes und setze die betreffende Adresse auf die Sperrliste. Das ist so simpel, dass ich finde, jedes E-Mail-Programm sollte in der Lage sein, eine ganze Domain auf diese Weise zu behandeln.
Wenn zum Beispiel an eine Adresse, die ich für einen bestimmten Onlineshop erstellt habe, eine „Benachrichtigung von der Bank“ kommt, kann sie nicht echt sein. Missbrauchte Adressen kann ich in /etc/aliases löschen und damit ungültig machen.
Außerdem ist mein postfix-Server so konfiguriert, dass er Verbindungen ablehnt, wenn die sendende Seite kein Reverse-DNS-Mapping hat. Das funktionierte schon vor 20 Jahren, und wenn ich mir heute die Logs ansehe, ist es immer noch nützlich.
Wenn zum Beispiel etwas an anything_s@mydomain.com kommt, geht es direkt in den Spam-Ordner. Das verwende ich für fast alles, von Google bis zur Registrierung auf kleinen Websites. Schließlich schicken sie meist ohnehin nur Spam, und selbst wenn ich gelegentlich den Spam-Ordner prüfe, war noch nie etwas Wichtiges dabei.
Auch die Mails gewöhnlicher Unternehmen interessieren mich größtenteils nicht, daher betrachte ich sie als Spam. Uber Eats schickt pro Bestellung mehrere Mails, was nach meinem Maßstab einfach Spam ist. Wenn mir ein Dienst wirklich wichtig wäre, würde ich ihm eine Adresse mit einem anderen Suffix geben, die nicht im Spam landet, aber das kommt fast nie vor.
Das filtert nicht nur Phishing-Spam, der kommt, wenn eine Website eine Adresse leakt, sondern auch die meisten Mails vom Typ „wichtige Informationen zu einer kleinen Interaktion“, die die meisten Websites verschicken.
Ein Catch-all lässt aus Sicht von Spammern so aussehen, als würden alle Mails erfolgreich zugestellt, sodass Spammer immer weiter senden und Ressourcen verschwenden können.
Nach meiner Beobachtung kommt Spam nur an die E-Mail-Adresse, die ich in meinem Blog veröffentlicht habe, und an die GitHub-Adresse. Es scheint, als hätte niemand meine Adresse an Spammer verkauft, sondern als wären nur öffentlich zugängliche Adressen abgegriffen worden.
Spam-Teams sozialer Netzwerke verhängen gegen Spammer normalerweise einen Shadowban.
Ziel ist es, es Spammern möglichst schwer zu machen, herauszufinden, dass sie erwischt wurden. Deshalb glaube ich, dass Frustrationstechniken oder einfache Kontosperren nicht weit verbreitet sind.
Spam-Abwehr ist im Kern ein Wettrüsten zwischen Unternehmen, die Erkennungstaktiken ausrollen, und ausgefeilten Spammern, die immer komplexere Methoden nutzen, um der Erkennung zu entgehen; das macht sie interessant. Wenn man Spammer dazu bringen kann zu glauben, dass sie ihre Methoden nicht weiterentwickeln müssen, ist das für das Unternehmen ein Vorteil.
Mein Instagram-Konto wurde dauerhaft gesperrt, weil ich angeblich mich selbst imitiert habe. Das war schlimmer, weil ich das ganze Konto verloren habe; sie verlangten sogar ein Selfie, und in genau dem Moment, in dem ich das Bild einreichte, wurde ich dauerhaft gesperrt.
Sie können stichprobenartig prüfen, ob Kommentare sichtbar sind, und per Shadowban belegte Konten automatisch entfernen.
Akismet hat kein richtig funktionierendes Einspruchsverfahren. Vor sehr langer Zeit wurde ich von Akismet gebannt, als ich in meinem eigenen Blog Kommentare schrieb.
Wenn ich an Orten kommentiere, die Akismet verwenden, werde ich still herausgefiltert. Bei Disqus wurde ich ebenfalls gebannt, weil ich viele nützliche Links in Kommentaren auf Blogs von Leuten gepostet hatte, die ich kannte; dort war das aber innerhalb von 2 Tagen gelöst, und sie waren sehr höflich.
Akismet sollte zumindest die unzähligen WordPress-Nutzer bereinigen, die vor Ewigkeiten gebannt wurden, und WordPress sollte zu einer etwas weniger irrsinnigen Alternative wechseln.
Dass ich in meinem WordPress-Blog nicht antworten kann, ist eigentlich ziemlich lustig, und für mich ist es einfach, weil ich einen anderen Blog-Engine verwenden kann. Aber dass WordPress seine eigenen Nutzer nach dem Motto „lasst uns ein bisschen Spam töten“ behandelt, ist nicht besonders gut.
Die Domain zur uBlock-Liste hinzuzufügen und den Titel bei Google zu suchen, ist ein einziger Klick. Kein Einspruchsverfahren kann so einfach und zuverlässig sein.
Im Originalbeitrag fehlt, wie man gültige Nutzer erkennt und verhindert, dass sie in die Frustrationsschleife geraten.
Er beschreibt, dass es mit Akismet bis zu einem gewissen Grad funktionierte, Spam bei der Registrierung zu verhindern, aber leicht zu umgehen war, und dass manche Spammer Wege fanden, wie normale Blogs auszusehen, sodass man sie manuell aufspüren und markieren musste. Danach hätten sie eine „Frustration Loop“ gebaut, die bei erkanntem Spam Zeit verschwendet und die Leute zum Aufgeben bringt.
Aber zur Frage, ob das nicht auch bei normalen Nutzern ausgelöst wird, steht dort nur ungefähr, dass es drei Monate lief und nur ein Nutzer ein Problem gemeldet hat. Persönlich finde ich genau diesen Teil den interessantesten des Artikels.
Die Maßnahme, Spammer zu frustrieren, ist an sich cool, aber ich hätte mir mehr dazu gewünscht, wie Spammer und echte Nutzer getrennt werden und wie man False Positives und False Negatives ermittelt. Ich verstehe, dass es schwierig ist, Erkennungsdetails offenzulegen, und dass das Thema des Artikels die Frustration Loop ist.
Wenn Akismet mit Spam antwortet, schalten sie die Frustrationsschleife ein; das fand ich ziemlich clever.
https://akismet.com/developers/comment-check/
Inzwischen denke ich, dass eine Lösung nur den Kennzahlen und dem Umsatz schaden würde.
Die wirksamste Spam-Abwehr bei Mail-Kontaktformularen waren mehrere versteckte Texteingabefelder mit Namen wie „blindcopy“, „bcc“, „cc“ oder „additional address“.
Alle hatten Standardwerte, und der Submit-Handler lehnte die Übermittlung ab, wenn er erkannte, dass sich die Werte dieser Felder gegenüber den Standardwerten geändert hatten. Ich glaube, über dieses Formular habe ich keine einzige gefälschte E-Mail erhalten.
Ich habe in ein Kontaktformular ein verstecktes Feld ohne Text eingebaut und aus Gründen der Barrierefreiheit einen höflichen Warnhinweis als Hinweistext hinzugefügt. Wenn dort etwas eingetragen wurde, habe ich es still verworfen, und der Inhalt wurde mir in Kopie zugeschickt; in den etwa 8 Jahren, in denen das Formular online war, hatte ich, glaube ich, 0 Spam-Mails.
Ich frage mich allerdings, warum Passwortmanager oder Autocomplete nicht hineintappen. Können sie erkennen, dass das Feld nicht sichtbar ist?
Wird der Inhalt, den „frustrierte“ Nutzer eingeben, stichprobenartig geprüft, um zu sehen, ob er tatsächlich legitim ist? Gibt es False-Positive- und False-Negative-Raten? Wurde auch betrachtet, ob die Gesamtzahl legitimer Registrierungen gesunken oder gestiegen ist?
Diese Methode wird nicht nur von ihnen eingesetzt. Viele Seiten schlagen bei Nutzung eines VPN ohne Fehlermeldung still, aber auf frustrierende Weise fehl. Schaltet man das VPN aus, funktioniert auf magische Weise alles. Etsy hat eine Zeit lang bei Nutzung eines VPN eine leere Seite zurückgegeben, was extrem frustrierend war.
Auf Instagram gibt es eine Frustschleife. Ich weiß das, weil sie bei meinem Account ausgelöst wird.
Bei jeder einzelnen Aktion, die ich ausführe, egal wie unbedeutend, werde ich gezwungen, mich erneut anzumelden. Ob ich auf einen Link klicke oder irgendetwas anderes tue: Jedes Mal muss ich über den Login-Bildschirm.
Anfangs hieß es: „Verdächtige Aktivitäten in deinem Konto wurden erkannt“, danach erschien „Dein Konto wurde deaktiviert“. Den tatsächlichen Grund nennen sie nicht, aber der einzige realistische Grund in den offiziellen Regeln ist, dass man einen Beitrag veröffentlicht hat, der jemanden verärgert.
Nur hat diese Erklärung ein Problem: Ich habe nie etwas gepostet. Ein paar Leuten zu folgen ist alles, was ich auf Instagram tue. Nach Code-Eingabe und dem Einsenden eines Fotos von mir habe ich den Zugriff auf das Konto zurückbekommen, aber jetzt muss ich mich bei allem, was ich tue, erneut anmelden. Es fällt schwer zu glauben, dass das Zufall oder ein Bug ist; es wirkt eindeutig so, als hätten sie mich als problematische Person identifiziert, hätten aber nicht genug Beweise für eine Hinrichtung und würden mich deshalb für imaginäre Verstöße bestrafen.
Vermutlich liegt es daran, dass ich gelegentlich Instagram-Foto-Links gefolgt bin. Dass es Teil von Meta ist, ist ebenfalls ein Problem: Wenn ich Instagram komplett schließe, verliere ich auch den Zugriff auf mein Facebook-Konto, das ich nutze, um mit ein paar weit entfernten Freunden in Kontakt zu bleiben.
Die Welt hat Facebook verlassen, und jetzt sind alle auf Instagram. Ich wäre wahrscheinlich auch dort gelandet, wenn Instagram es nur zugelassen hätte.
Ich sehe die Aussage, Spam-Erkennung sei ein Kreativitätskrieg zwischen Spammern und Erkennenden; bei Akismet mag das stimmen. Aber wenn es um eine Website geht, die Spammern einen Ort bietet, an dem sie sich sammeln können, ist das nicht mehr diese Konstellation.
Das ist ein Wettbewerb zwischen meinem Blog/meiner Website und anderen Blogs/Websites. Wenn ich besser geschützt bin als meine Nachbarn, gehen die Spammer zu ihnen. Das gilt besonders, wenn man nicht Bots, sondern Click-Farms abwehrt.
Wie der Witz sagt: Im Wald muss man nicht schneller laufen als der Bär, man darf nur nicht der Langsamste in der Gruppe sein.