Mejores prácticas para manejo de abuso (spam)

Saludos Comunidad!

Abro este tema para consultar con otros colegas proveedores de hosting acerca de las mejores prácticas para manejar incidentes de spam saliente en servicios 100% administrados

Escenario típico:

• El cliente tiene un servidor dedicado o virtual administrado
• El password de uno de sus clientes está comprometido y la cuenta está siendo usada para spam
• El spam saliente es detectado por el proveedor y/o reportado por terceros

Como proveedor no tengo la autoridad de suspender a los clientes de mis clientes, por lo que la opción víable para proteger las ips sería bloquear las conexiones salientes SMTP pero con esto friego a todos los usuarios de ese servidor, se que esta es la práctica normal en servicios no administrados pero no me parece lo mejor en casos de que el servicio sea administrado.

Actualmente la política es notificar al cliente con instrucciones claras de lo que debe hacer y dar un plazo de x horas para cumplir o limitaremos vía firewall la salida SMTP (solo correos salientes los entrantes no los limitamos en casos de abuso) sin embargo existe el problema de que basta un par de horas enviando spam para que las ips queden listadas.

¿Como otros están manejando este asunto?

Ideas que se me ocurren:

- Incluir en el contrato que en caso de abuso el cliente nos autoriza plenamente a realizar las acciones que creamos convenientes para mitigarlo, es un arma de doble filo debido a que en un caso de abuso no detectado el cliente puede sencillamente alegar que la empresa tenía el acceso y la autoridad para evitarlo y no lo hicieron

- Bloquear el correo saliente del servidor a la vez que se notifica al cliente, dependerá de la velocidad que el resuelva el abuso si sus otros clientes se verán afectados o no.

- En caso de abuso redirigir el tráfico saliente a mailchannels mientras el cliente resuelve el incidente y facturarle por el uso.

Opiniones o experiencias al respecto?

 

Hola, en el momento que un cliente hace un abuso o un uso inadecuado del servicio, estas autorizado según tus condiciones para suspender los servicios, y más cuando es el spam es una actividad ilegal y abusiva, por tanto eso de que no tienes autoridad es relativo, tu eres responsable desde el momento que eres consciente.

Respecto a como actuar, pues depende de cada caso:

Si es una cuenta email (smtp) la que esta enviando spam, se le cambia la contraseña o se suspende esa cuenta de correo, y se le notifica al cliente.
Si es envios mediante phpmail pues se puede cambiar a envios exclusivos por smtp, o bien cambiar permisos, o bien moverle los ficheros hasta que el cliente lo arregle, pero en cualquier caso se le notifica.

Si el cliente es reincidente:
- Ip exclusiva que pagará o servicio suspendido.
- Servicio de envío exclusivo con smtp, anulado phpmail
- Restricción en el envío por hora de correos.

Sinceramente, no tengas piedad, en el momento que tengas una cuenta enviando spam, parala de algún modo, cuanto menos agresivo mejor, pero no puedes notificar y esperar a que el cliente haga algo porque luego retirar una ip de lista negra es la leche, por tanto, las consecuencias son peores.

 

Acuérdate que no hablamos de un cliente directo sino del cliente de un cliente, por lo que el cambio de contraseña podría exponer al proveedor a acciones legales (se que me estoy yendo a los extremos pero si mi trabajo, planificar antes de que las cosas ocurran)

En resellers y clientes compartidos no tenemos problemas, se suspende el envio smtp desde la cuenta y listo, el problema es con dedicados /cloud algunos con clientes gobierno y empresariales.

Lo que trato de lograr proteger ips a la vez que protejo la empresa de posibles acciones legales e incomodar a usuarios lo menor posible

 

No veo ningún problema en actuar, lo pactas en tus condiciones de uso y contratación y queda bien atado. Da igual si es el cliente de un cliente o un cliente de un supercliente del gobierno de turno. Como proveedor administrado debes garantizar su propia seguridad y su reputación, no solo la de la IP. El buzón o buzones en cuestión deben ser suspendidos y si es necesario modificas las claves. Informas al cliente de la situación y de los cambios de clave al usuario y san se acabo, te lo van a agradecer hombre. No olvides que obviarlo es sancionable para el propio cliente; si te preocupan las posibles objeciones páctalo mediante contrato y tu conciencia permanecerá tranquila.

 

En casos de VPS/Dedicados/housing, es verdad que damos mas margen pero llegados al caso debes de actuar con proporcionalidad. Es decir, si es la primera vez, depende del volumen, del nº de ips afectadas, del tipo de cliente, etc...

Se le notifica al cliente, en estos casos, se procura incluso llamar por teléfono y se le da un tiempo para que puedan arreglarlo, no es como los otros casos en los que se actua/capa/corta al momento.

Llegados a un extremo, el cual no hemos llegado nunca, en el que el cliente esta desaparecido o no se ha hecho nada, y/o es reiterado se podría pensar en capar de algún modo la maquina para que no siga haciendo spam o incluso dar el servicio de baja, pero siempre este tipo de clientes, en nuestro caso, ha actuado y restablecido la situación.

Yo entiendo que hay unos acuerdos con los clientes, pero los acuerdos que tengas con tus clientes NUNCA pueden vulnerar las leyes o estar por encima de estas.

Ley 34/2002 de Servicios de la Sociedad de la Información como por la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos.

 

Buenos días, nosotros somos muy estrictos con el tema del spam, de hecho, todos nuestros servidores de hosting tienen cerrada la función mail de PHP, todo el correo que sale, tiene que ser autenticado por SMTP, tenemos limite de seguridad diario, que previo aviso del cliente (boletines, publicidad controlada, etc.). Ademas, los clientes que tienes su propia IP, ya sea en hosting, VPS o dedicados, son conscientes de que son responsables de la IP, que el servicio de delistarla tiene un coste de X la primera vez, Y la segunda y sucesivamente. Ademas, de por nuestras condiciones del servicio, podemos actuar a cualquier nivel en el servicio, ya sea bloqueando el puerto, el servidor, la cuenta, etc.

Evidentemente todo esto es un extra de trabajo, ya que solemos aconsejar a los clientes como migrar de mail() a phpmailer o similar y en muchos casos acabamos haciéndolo nosotros pero gracias a estas políticas no tenemos incidencia con el spam, solo con Microsoft claro.. pero ellos están en sus mundos de yupi..

 

Yo creo que Microsoft los tiene con todo el mundo.

 

Gracias a todos lo que han expresado sus opiniones

Despues de buscar asesoría legal esto es más o menos el resumen de lo conversado, noten que esto aplica a USA y no necesariamente para otros paises

- Al un cliente enviar spam está violando los términos del servicio y por tanto puede ser suspendido, bloqueado o cualquier otra medida que la empresa considere necesaria y tenga en contrato (algo que ya todos sabíamos.)
- Cuando es un cliente del cliente es decir no un cliente directo, las cosas cambian un poco y tomar acciones individuales contra el "sub-cliente" no es recomendable y crea una potencial responsabilidad civil
- El cambio de contraseñas es un NO NO en todo caso, incluso si el cliente es directo pero mucho menos cuando no lo es, igual al punto anterior hay un riesgo potencial de acciones legales

Las recomendaciones para casos específicos de clientes no directos:

- Establecer en los términos del servicio que los clientes son responsables de las acciones de sus sub-clientes, que deben adoptar políticas acordes con las de la empresa y que deferenderán a la empresa en caso de acciones legales de parte de sus clientes (esto hasta acá es muy standard e incluido en la mayoría de los contratos)
- Restringir el correo saliente del cliente directo (servidor) o del dominio infractor. es decir los dominios se almacenarán en la cola de salida pero sin ser entregados
- Notificar al cliente directo, indicando que se ha limitado el correo saliente desde su cliente final y debe realizar las acciones recomendas (notificar a sus clientes, cambiar password, o lo que el cliente crea necesario para detener el abuso)

Básicamente la idea pasar la acción de suspender, cambiar contraseña etc a nuestro cliente directo y que sea el quien tome las acciones pertinentes y no la empresa directamente

Todo esto es bastante lógico y tiene sentido, pero es bueno tener la opinión legal, especialmente para empresas basadas en USA en donde te pueden demandar hasta por mirar feo a alguien