Lotta allo spam

Alcune settimana fa siamo stati vittima di un sostenuto assolto di spammer. Hanno colpito principalmente il forum, ma sono stati bersagliati anche i commenti alle news.

Grazie al paziente e rapido lavoro dei moderatori siamo riusciti a eliminare lo spam mentre questo si presentava, ma la strategia non era vincente: prima o poi gli spammer ci avrebbero battuto. Perché, ricordiamoci, gli spammer non sono persone come noi, che hanno bisogno di dormire e si stufano di combattere battaglie perse: gli spammer sono dei bot che postano commenti e link in modo automatico. Una potenza di fuoco quasi infinita, ma anche un punto debole come vedremo più avanti.

In uno dei momenti peggiori del nostro scontro mi era stato indicato questo link che punta al forum di supporto del phpBB. Mentre i mod indicati sono tutti piuttosto validi, erano già stati implementati - in una forma o nell'altra - o non erano applicabili al nostro caso. Allora perché gli spammer continuavano a riuscire a iscriversi?

Diamo una rapida occhiata ai mod suggeriti:

1. Anti Bot Registration: L'idea di modificare il linguaggio usato sulla pagina di registrazione è corretto, ma considerando che noi usiamo una pagina custom per la registrazione, questo mod non ci serviva.

2. No more spambots: Molti confermano che ci sono tanti bot che impostano l'orario a UTC -12 e quindi potrebbe essere utile, ma i nostri spammer, non sembra facciano questa cosa.

3. Authorize URL for Groups: Non permettendo agli ospiti di postare sul forum, questo mod non aveva senso per noi.

4. Censor block: Interessante l'idea di avere un dizionario che blocca automaticamente alcune parole (Rolex, Prada...), ma non sono un fan dell'idea di dover sempre aggiungere nuovi termini al dizionario.

Dopo vari giorni di studio mi sono accorto di una mia distrazione: mentre la pagina di registrazione di default del phpBB non era linkata da nessuna parte, questa continuava ad esistere ed era la porta usata dai bot per continuare a registrarsi.

I bot sono infatti stati programmati per registrarsi solo a un numero di software standard (Wordpress, phpBB, IBB, Joomla...), ma nessuno spammer si darebbe la briga di customizzare il bot per attaccare un solo sito (a meno che questo non fosse davvero enorme). Usando una pagina non standard, con un captcha non standard, siamo quindi riusciti a sconfiggere la potenza di fuoco dei bot.