El correo basura crece exponencialmente

ste verano, triunfan los anuncios en castellano para adelgazar, búsqueda de pareja y cursos. Proliferan también los engaños, como un supuesto Consejo Iberoamericano que anuncia al incauto que le han nombrado "Magister en Gestión Educativa". O el mensaje que parece venir de una entidad bancaria y pide al cliente que ponga sus datos en un formulario. Aumentan los anuncios masivos de servicios "antispam". Y también "pro-spam": desde una cuenta de Latinmail, ofrecen 50.000 direcciones españolas, ordenadas por profesionales y provincias, y 50 millones de direcciones del mundo, por 40 euros, según explica Mercé Molist en VSantivirus.

El descaro de los profesionales del correo basura, llamados "spammers", crece por momentos. Usan métodos criminales, como infectar ordenadores personales, para enviar "spam" o instalarles programas espía. Un tal Licenciado Alberto Schreiber vende, desde Argentina, un curso para aprender a "enviar más de 10.000 mails de una vez, evitando los bloqueos anti-spam, y técnicas para el seguimiento de las respuestas". Schreiber defiende que "el e-mail masivo sostiene la supervivencia de microemprendedores, PYMES y honestos trabajadores en desventaja".

Otros se permiten conceder entrevistas, como S.Pammer, nombre ficticio de un estudiante holandés, cosa rara en un negocio dominado por mafias de norteamericanos y algunos canadienses y rusos. S.Pammer explica su historia al periodista Rejo Zenger: empieza enviando correo basura desde una dirección de Planet Internet, con el sencillo programa Mailbomber. Cuando el proveedor le cierra la cuenta, cambia a otro.

Pronto, descubre cómo funciona el negocio: se manda el "spam" desde ordenadores infectados con virus o a través de "proxies" abiertos, y los servicios web para contratar el producto se alojan en China. Un "proxy" es un servidor, alojado en un ISP, que actúa como intermediario entre el usuario e Internet. Si el "proxy" no se configura de forma segura, pueden usarlo personas externas para enviar correo basura, ocultando su identidad. En el mercado "spammer", hay catálogos con las direcciones de miles de estos "proxies".

S.Pammer describe sitios como Send-safe.com, donde previo pago manda anónimamente su basura: 800.000 mensajes por 50 dólares. El servidor chino donde aloja sus servicios web, que ha contratado a través de una empresa británica, le cobra 125 euros al mes. Según sus cálculos, si envía 250.000 "spams", como mínimo los leen 26.000 personas, 488 visitan la web y entre 20 y 30 compran el producto, la mayoría por impulso. El producto se fabrica en Rusia y pasa un entramado de empresas importadoras hasta llegar a su destino. En seis meses, S.Pammer gana entre 2.000 y 3.000 euros.

En España, las fuertes multas de hasta 150.000 euros, que impone la Ley de Servicios de la Sociedad de la Información (LSSI), mantienen a raya a los "spammers", según Iñaki Uriarte, director de asuntos jurídicos de la Asociación Española de Comercio Electrónico (AECE): "Sólo ha habido algunas empresas pequeñas sancionadas, porque les venden bases de datos con mala fe y pican". Es el caso de la gallega Allnet.es, que lleva dos meses enviando "spam" a diario. Según Allnet, la culpa es de su agencia de publicidad, alemana: "Nos dijeron que sacaban las direcciones de colegios profesionales y cámaras de comercio, todas legales y confirmadas telefónicamente, y les creímos".

Pero el problema es más amplio. Según la Red de Sensores Antispam (SAnet), auspiciada por la Universidad de Zaragoza y RedIRIS, los proveedores estadounidenses, como Verizon, Comcast o Ameritech, con miles de usuarios infectados por virus, son los responsables de la mayoría de basura que circula por la red española. Su tráfico hacia España es, en un 95%, "spam". Pero los proveedores y empresas nacionales también tienen altos ratios: el 61,5% de tráfico que sale de Infojobs es basura. El 58,72% de Auna, también, el 39% de Onolab, el 22,39% de Terra.

"Quien más basura genera es "rima-tde.net" (Telefónica), porque tiene mucho tráfico de miles de ADSL contaminadas con virus. Se ha perdido la costumbre de denunciarlo porque es inmanejable, los grandes proveedores, sencillamente, no responden", se queja Jesús Sanz de las Heras, de RedIRIS/Red.es. Antonio Caravantes, de la Asociación de Internautas, añade: "Algunos ignoran deliberadamente las quejas que hay contra sus propios usuarios, porque podrían perder un cliente".

Recientemente, Telefónica figuraba en una nueva lista negra internacional, la Abusive GHosts Blocking List, por el aumento de envíos, desde rima-tde.net, del fraude del diplomático nigeriano. Según Telefónica, la culpa es de los clientes: "Durante su tiempo de acceso a Internet, son responsables de su dirección IP. Algunos, por falta de protección, han sido utilizados para envío de correo masivo y su dirección incluida en listas negras. Cuando Telefónica lo detecta, informa al cliente y contacta con el gestor de la lista".

La compañía no tiene estadísticas públicas sobre el correo basura que pasa por sus redes, pero asegura: "Ha crecido de forma exponencial. Son cada vez más clientes que lo denuncian. Su peligrosidad evoluciona rápidamente, pasando de la oferta de productos a la suplantación de identidad de bancos y tiendas. Estamos desarrollando un servicio de filtro de correo personalizable por el cliente. También tenemos grupos que asesoran de las mejores prácticas y centros de atención técnica para Residencial y Empresas".

Proveedores y empresas antivirus han sido los primeros en lanzarse al nuevo negocio de la protección "antispam". Jesús Sanz de las Heras critica: "Esto no es luchar contra el "spam" si no sacarle partido. Ven un negocio en cobrar por buzones cinco estrellas con filtros, que no reducen la generación de basura, sólo la esconden. Los proveedores dejan abiertos los puertos de salida de correo, lo que implica generar basura gratis, para luego cobrar por productos "anti-spam", a la entrada".

Otro punto de conflicto son las empresas de mercadotecnia por correo electrónico, que envían el llamado "spam legal". La cuestión es cómo consiguen y manejan las direcciones para mandar publicidad. La LSSI dice que una empresa sólo puede enviar anuncios a clientes con una relación contractual, pero el día a día lo complica: muchas empresas externalizan sus servicios de "mailing", lo que provoca trasiegos de direcciones y demandas de borrado que se pierden por el camino. Usualmente, no se avisa a los clientes de que sus direcciones entrarán en la base de datos de una empresa externa.

Las compañías de "e-marketing" aseguran que piden siempre confirmación al usuario, mediante correo electrónico, antes de ponerlo en su base de datos. Pero Iñaki Uriarte, de la AECE, no lo ve necesario: "La ley pide que haya un consentimiento previo y introducir los datos en un formulario ya es una forma de consentimiento. Lo que pasa es que la gente no lee bien las condiciones de contratación".

En los últimos años, ha habido diversas sentencias y sanciones por "spam", amparadas en la LSSI o en la Ley de Protección de Datos. La mayoría de casos juzgados, afirma el abogado Carlos Sánchez Almeida, han sido "empresas de "spammers" que se denuncian entre ellas por competencia desleal". No se conoce el número total de sanciones administrativas, entre otras razones porque el Ministerio de Ciencia y Tecnología se encargó de las denuncias por correo basura entre 2002 y 2003 y, en 2004, se traspasó a la Agencia de Protección de Datos.

En la época del Ministerio de Ciencia y Tecnología, se tramitaron, que no sancionaron, 40 expedientes. Sólo en 2004, la Agencia de Protección de Datos ha abierto un centenar, por correo comercial no deseado. Pero, según Jesús Rubí, subdirector de Inspección de la Agencia, "no se puede saber en realidad cuántos son, porque también hay expedientes por protección de datos, que se suman a éstos. A veces, la frontera no es fácil de distinguir". La LSSI sólo sanciona el correo comercial, no se pronuncia sobre la propaganda política, los "virus-spam" o los fraudes, algo que desconcierta a los expertos. Según el profesor José Antonio Mañas, de la Universidad Politécnica de Madrid, "llegan cada vez más mensajes de caracter social o político que, sin ser comerciales, son habitualmente "spam"."

La investigación por una denuncia de correo basura dura seis meses. Pero, dice Rubí, "pueden ser más, a veces es complicado conocer el emisor y el beneficiario y hay muchas cabeceras falsificadas. Uno de nuestros objetivos es acabar con la mala configuración de los proveedores. También hay usuarios que no saben cómo borrarse o que no tramitan bien las denuncias". José Luís Piñar, director de la Agencia, explica cómo hacerlo: "Primero, no eliminar el correo basura. Después, ponerlo en conocimiento de la Agencia, por correo electrónico (ciudadano@agpd.es) o físicamente".

Así lo hacía "Ciberpaís" en junio, para denunciar tres insistentes mensajes basura. En julio, la Agencia respondía con tres acuses de recibo vía correo postal. Menos suerte hubo al denunciar un fraude masivo a delitos.tecnologicos@policia.es, que no respondió. Dice Sanz de las Heras: "Hasta ahora, ni la legislación ni la Agencia de Protección de Datos se han demostrado de utilidad en la lucha contra el "spam"". Se defiende Piñar: "Ha habido pocos pronunciamientos, pero se incrementarán porque estamos teniendo bastantes denuncias. La gente recibe cada vez más "spam" y vamos a necesitar más medios".

La situación no es mejor en Estados Unidos, con la nueva ley CAN-SPAM. Dice Rogelio Bernal, de eListas: "Es una ley incompleta y exige unos requisitos (dirección de remitente válida, información de contacto, método para no recibir más mensajes) que se están saltando todos los "spammers". Hay cuatro casos en los juzgados, de empresas grandes, y eso al "spammer" de turno no le preocupa". La Internet Engineering Task Force afirma que es posible reducir drásticamente el "spam" con medios técnicos, pero poco probable, por la oposición de lo "lobbies" del negocio "antispam".

El profesor Mañas cree que la solución es "el agujero negro, que el "spam" se pierda sin que se note, para que deje de ser un negocio. No nos vamos a librar de todo, pero sí del que se genera por interés comercial, porque es un medio de publicidad ineficaz: la inmensa mayoría lo odia y va directamente al cubo de la basura. Me cuesta creer que, por poco que cueste lanzar un "spam", se consiga un negocio que compense la mala imagen que crea".

Los expertos coinciden en que disminuirá, pero no desaparecerá. Dice Pascual Pérez, responsable de correo en la Universidad de Zaragoza: "Las leyes y las corporaciones quieren garantizar la supervivencia del "spam legal", llamado "marketing directo"". Añade Eloi Granado: "Puede que erradiquemos el correo masivo de los no poderosos, poniendo tantas trabas que los "spammers" de tres al cuarto poco podrán hacer, pero siempre habrá operadores, bancos o partidos que harán envíos masivos sin que se les tache de "spammers", igual que en nuestros buzones de casa".

¿De dónde viene el correo basura?

Las estadísticas internacionales dicen que el 66% de correo que circula por Internet es basura. Los usuarios avanzados viven un bombardeo constante, como el administrador Jesús Cea: "Mi dirección de correo personal existe desde 1996 y nunca la he ocultado. Mi filtro clasifica como "spam" unos 372 mensajes diarios. Desde febrero, me llegan más virus que "spam"". Los proveedores están peor. Joshué Martín, de Project&Software, una empresa que administra 3.500 cuentas de correo, afirma: "Rechazo más de 16.000 mensajes diarios con los filtros y, de lo que entra, el 26% es también basura". Otros rechazan más de un millón al día.

El 56,7% de esta basura procede de ordenadores situados en Estados Unidos, según la empresa Sophos. A mucha distancia están Canadá (8%), China (6,5%) y Corea del Sur (5.77%). España es responsable del 1% del "spam" internacional. En cuanto a la basura que circula por las redes españolas, según la Red de Sensores Antispam SAnet, la mayoría procede de Estados Unidos, seguido de España, China y Corea. Jesús Sanz de las Heras, de RedIRIS/Red.es, explica: "El 97% de mensajes que nos llegan de países como Nigeria y Corea son basura".

Argentina es también un fuerte emisor de "spam". Según Eugenio Siccardi, es "el cuarto de los que envían más "spam" en el mundo. Varios proveedores argentinos están en listas negras y algunos ISP de otros países están filtrando el dominio .ar entero. El principal problema es que los proveedores argentinos no hacen absolutamente nada, incluso en algunos casos están asociados con los "spammers". Algunos compañeros de organizaciones "antispam" han sido amenazados de muerte".

Daniel Cialdella estima que "el 99% de basura que recibo es de productos de Estados Unidos y casi cero de productos europeos. Pero, aunque el "spam" sale de servidores ubicados en EEUU, de grandes proveedores con dirección asignada a este país, el originante real pueden estar en cualquier parte del mundo. Por otra parte, mucha basura que se está generando en Rusia, Chile o Corea va a destinatarios orientales, allí tienen un porcentaje mínimo de "spam" de EEUU".

Es un tema intrincado, explica Alfredo Sola, director técnico de Intelideas: "El principio de la cadena es el que tiene un producto que vender y pocos escrúpulos. Éste contrata al "spammer", que se sirve normalmente de máquinas desprotegidas para lanzar el mensaje basura. El siguiente eslabón es el proveedor de alojamiento web para los productos que anuncian. Los ISP occidentales cancelan las cuentas de los "spammers". Por eso, está de moda alojarse en países que no pueden permitirse el lujo de rechazar un cliente. Pero el principio de la cadena, el vendedor, está en la mayoría de casos en Norteamérica".

Seis años de basura 'made in Spain'

Los primeros datos sobre "spam" en España se remontan a 1998, cuando RedIRIS crea la lista de correo ACE-L, llamada después MAIL-ES, para discutir el tema. Entonces, el gran problema era la desidia de la mayoría de proveedores: tenían sus servidores de correo abiertos al exterior y eran usados frecuentemente para lanzar "spam". Algunos de sus clientes eran también "spammers", sin que el proveedor hiciese nada para evitarlo, e incluso había quien vendía cuentas especiales para mandar basura.

Las quejas se acumulaban contra Arrakis, CTV, Inlander, Intercom, Retevisión, Servicom y, especialmente, Telefónica. La moda de dar cuentas gratuitas aumentó el "spam" y su impunidad: si el proveedor cerraba la cuenta por mal uso, abrían otra. Algunos "crackers" y "spammers" empezaban entonces una práctica que se ha mantenido hasta ahora: el robo de direcciones de clientes de empresas y colegios profesionales, vendidas a precio de oro.

Un apetecible objetivo serán las bases de datos del registrador ESNIC, donde se almacenan las direcciones de contacto de los dominios .es. Según Eloi Granado, "ESNIC tiene un formulario en su web para consultar estas direcciones. A los "spammers" de alto vuelo, no les cuesta nada hacer un programita que vaya pidiendo información al formulario y se guarde todas las direcciones de correo que encuentre".

El primer anuncio de Viagra en castellano aparece en julio de 1998 y se envía desde Jet Internet. Entonces, el ratio de correo basura en castellano era más alto que ahora. Algunas empresas caían en la trampa de comprar y usar bases de datos de dudosa procedencia para anunciarse. La empresa GEI, de Mataró, publicitaba así su "Diccionario del vino". También la librería Díaz de Santos. Los "spammers" anunciaban sus servicios en mensajes masivos, sin esconder su teléfono y dirección postal. La empresa CEINMA, de Valencia, vende un millón de direcciones por 15.000 pesetas.

Entre los "spammers" más persistentes de aquella época, destaca la empresa de venta de "hardware" AWS, que sería la primera multada en España por hacer "spam". La Agencia de Protección de Datos le impuso una sanción de diez millones de pesetas. Nacía entonces el uso de ingeniería social para engañar a las víctimas y obligarlas a responder el mensaje, lo que aseguraba que la dirección era correcta y aumentaba su precio en el mercado negro: "De entre miles de direcciones, ha sido elegida ésta. Responda".

Era la edad de la inocencia de la Internet española y se dedicaban al "mailing masivo" personajes folclóricos como el célebre Angeloso, quien presumía de enviar a decenas de miles de cuentas, con consentimiento, las actualizaciones de su web activista "Timofónica". En Navidad de 1998, se permitía mandar el primer "christmas" masivo de la historia: "Estimado Cibernauta de habla hispana, la Unión de Cibernautas y en su nombre Angel Badia y Francisco Monteagudo, en estas fechas tan especiales, quiere desearte lo mejor para ti y los tuyos".

1999 sería más de lo mismo. Algunos proveedores seguían vendiendo cuentas a "spammers". Los nuevos ISP con direcciones gratuitas, como Wanadoo o Uni2, traían consigo más basura. Aparecían también los primeros programas para envío de correo masivo y nuevos trucos para certificar que un "spam" ha sido leído, como el uso de ficheros .gif en los mensajes. Los virus y fraudes masivos nacen también ahora, como el que insta al usuario a llamar a un número de teléfono de alta tarificación si quiere anular un cargo en su tarjeta de crédito.

Las listas negras eran la única arma de los proveedores para controlar el "spam" procedente del exterior, pero los "spammers" siempre van por delante. Su audacia es tal que atacan máquinas de proveedores durante horas, para enviar correo. En enero de 2000, circula un mensaje basura donde una empresa murciana anuncia un programa que recolecta direcciones de correo de páginas web, a razón de 25.000 la hora.

Pronto se populariza la coletilla, al final de los mensajes basura: "Este "e-mail" no puede ser considerado "spam" porque incluye el procedimiento para ser "removido"". En 2001, empieza a circular por los buzones españoles el famoso timo del diplomático nigeriano, que ofrece un gran negocio a cambio de una inversión. En 2002, la reputada SpamCop pone a Telefónica en su lista negra de "spammers". No será la última. En octubre, entra en vigor la Ley de Servicios de la Sociedad de la Información (LSSI), que prohíbe el correo comercial no solicitado.

Empieza entonces una avalancha de basura que malinterpreta la LSSI. Donde la ley dice que sólo se puede enviar correo a quien lo consiente, Secretariaplus y otros interpretan: "Si no desea seguir recibiendo nuestras ofertas sólo tiene que enviarnos un e-mail. Si no lo hace, entendemos que nos consiente expresamente a seguir enviándole nuestra publicidad". Algunos amenazan: "Aquellas personas que incurran en falsas quejas serán puestas a la orden con sus respectivos ISP. Para personas jurídicas serán objeto de demanda por daño, perjuicios y/o difamación".

En 2003, el poder disuasorio de la LSSI y los filtros en los proveedores reducen el bombardeo que viene de España, pero aumenta el de fuera. Los "spammers" usan virus para atacar a las organizaciones "antispam", como Spamhaus y SpamCop, y se habla abiertamente de guerra. Aparecen nuevos trucos de ingeniería social, como el mensaje basura redactado en modo coloquial, para dar confianza: "Hola! Parece que buscabas un piso, ¿lo has encontrado?".

En noviembre de 2003, se modifica el artículo 21 de la LSSI, para adaptarla a la directiva europea: las empresas podrán enviar correo no solicitado a sus clientes "cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa". En la lista MAIL-ES, arrecian las quejas contra Terra: "Alojan en sus servidores a un "spammer" durante semanas, sin mover un dedo para evitarlo".

El correo basura español inicia en 2004 su segunda juventud. En enero, alguien vende desde Barcelona "20.000 e-mails de empresas españolas, verificadas y actualizadas, por sólo 25 euros y regalo de 10.000 e-mails de empresas latinoamericanas". En abril, eListas.net afirma estar rechazando una media de 4 "spams" por segundo: "Y estamos bloqueando como mucho un 30% del que llega". Dicen en MAIL-ES: "Los "spammers" españoles, generalmente empresitas de medio pelo, no ven que se castigue el "spam" y vuelven a hacer de las suyas. Empiezo a recibir algún spam hasta con número de teléfono".

Historias del spam

Además de una molestia, el "spam" es una saga del ciberespacio, con sus batallas, inmortalizadas en el juego "Spamwars", y personajes legendarios, como el norteamericano Alan Ralsky, "el rey del spam". En 2003, ridiculizó a la comunidad "antispam" en una entrevista. Como escarmiento, los lectores del weblog Slashdot descubrieron la dirección del domicilio de Ralsky y le suscribieron a todo tipo de catálogos, revistas de anuncios y boletines por correo postal. Fue el "spammer" espameado.

La empresa DEC mandó el primer correo masivo no solicitado de la historia de la red en 1978. Era una invitación a los usuarios de Arpanet para asistir a la presentación de la nueva DEC-20. El caso fue muy comentado. El después padre del "software" libre, Richard Stallman, defendía la libertad del "spammer". Las crónicas dicen que DEC fue "castigada por romper la política de uso apropiado de Arpanet", pero no especifican cuál fue el castigo.

El "spam" se convirtió pronto en un problema. En abril de 2001, la Internet Engineering Task Force publicaba el documento: "How to Advertise Responsibly Using E-Mail and Newsgroups or - how NOT to $$$$$ MAKE ENEMIES FAST! $$$$$ ", imitando el título de un correo basura muy popular. Mientras, en los grupos de noticias internacionales, un "spammer" acusaba a los grupos "antispam" de estar aliados con los fabricantes de papel, lo que originó el mito y broma de "El cártel de los leñadores", que los "antispam" usaron desde entonces para referirse a sí mismos.

Algunos "spammers" no han dudado en llevar a juicio a sus víctimas: en 2002, en Gran Bretaña, t3Direct denunciaba a un hombre porque se había quejado a una lista negra que incluyó a la compañía como "spammer". Un año después, una coalición de empresas de correo basura ponía una denuncia contra las listas negras más populares, como Spamhaus o SPEWS. Otro curioso juicio tuvo lugar en 2003, en California: una compañía denunció a un hombre que amenazó con torturar y mandar ántrax a sus empleados, como venganza por enviarle repetidamente un anuncio de agrandamiento de pene.

Otros se lo toman a broma, como el neoyorquino que contó en su weblog, día a día, su experiencia con las pastillas para agrandar el pene que se anuncian por correo basura. Pero el mito por excelencia del "spam" es el fraude del diplomático nigeriano, con 20 años de vida y muy bien adaptado a Internet. En 2003, un jubilado de Praga envió todo su dinero al falso diplomático. Cuando se vio engañado, fue a denunciarlo a la embajada nigeriana, que aseguró no poder hacer nada. Entonces, mató al cónsul.

En 2000 y 2001, la revista "Satirwire" montó dos exitosos concursos de poesía, escrita sólo con palabras sacadas del correo basura. Entre las ganadoras, "Enlarge your Boss" o "I Answered All My Spam". El hombre orquesta Brad Sucks también se ha inspirado en la basura para hacer un disco, con canciones como "I Got Your Letter" o "Urgent Business Relationship". Recientemente, Ytcracker triunfa en la red con una canción rap dedicada al correo basura, donde repite "I'm the number one spammer".