2003 Zal de geschiedenisboeken ingaan als het jaar waarin de hoeveelheid spam voor het eerst de hoeveelheid ‘gewone’ mail overtrof. In mei werd de 50-procentgrens voor het eerst doorbroken, volgens e-mailfilteraar MessageLabs.

Voor 2004 verwacht het bedrijf een verdere stijging. Ondanks Amerikaanse en Europese antispamwetgeving – waarover later meer – zal in april 70 procent van alle mail uit ongevraagde, commerciële e-mail bestaan, zo voorspelt MessageLabs.

De toename van de hoeveelheid spam gaat gepaard met een verharding van de strijd tussen spammers en spambestrijders. Dreigementen, aanvallen, computervirussen: weinig middelen worden onbenut gelaten.

Luguber telefoontje

In maart besluit provider HostingXS bijvoorbeeld na een `luguber telefoontje’ te stoppen met de hosting van Spamvrij.nl (een site met een overzicht van Nederlandstalige spam). Volgens Rejo Zenger, de maker van de site, is er sprake van `dreigementen met claims en fysiek geweld’.

In oktober krijgt Zenger opnieuw met bedreigingen te maken. Deze keer nog wat heftiger en afkomstig uit extreemrechtse hoek. Aanleiding is de vermelding op Spamvrij.nl van een spambericht, waarin de site Extreemrechts.com werd aangeprezen onder de leuze ‘Eigen volk eerst’.

In april worden uit naam van Paul Wouters, die een spamarchief bijhoudt, diverse nepspams verstuurd – een zogeheten `Joe Job’, bedoeld om iemand zwart te maken. In instant-message berichten schilderen de spammers hem als een `child molester’.

Ook wordt Wouters’ site getroffen door een zogeheten DDoS (distributed denial of service) aanval. Daarbij probeert een aanvaller een server vanaf verschillende adressen te overvoeren met valse verzoeken om informatie. Het is de bedoeling dat bonafide informatieverzoeken – in dit geval voor het spamarchief van Wouters – er daardoor niet doorkomen.

Virussen

Ook andere antispamsites krijgen in 2003 DDoS-aanvallen te verwerken. Voor deze aanvallen wordt in veel gevallen gebruik gemaakt van computervirussen. “De maker van het virus kan vanaf de besmette computers een DDoS-aanval uitvoeren”, aldus Rejo Zenger van Spamvrij.nl. “Zo zijn er in september minstens drie grote zwarte lijsten met spamadressen onderuitgehaald na massieve, wekenlange, aanvallen.”

Met virussen besmette computers worden niet alleen ingezet om DDoS-aanvallen uit te voeren, maar ook om spam te versturen en om sites te hosten die in spamberichten worden aangeprezen.

Zenger: “Spammers kunnen besmette computers op afstand open en dicht zetten. Zo verhuren ze (letterlijk!) computers van argeloze gebruikers voor bepaalde periodes. Buiten die periodes zijn die computers dicht en kunnen ze niet opgemerkt worden scanners. Zulke criminele activiteiten duiden op een verharding.”

Spamfilters

Het inzetten van computers van derden is volgens Zenger mede het gevolg van de toenemende populariteit van spamfilters. Steeds meer providers bieden hun abonnees een (al dan niet gratis) spamfilter aan. “Spammers proberen onder die filters uit te komen en gebruiken daarvoor steeds viezere trucjes.”

Veel spamfilters filteren op afzender. Door gebruik te maken van open proxies en gekaapte computers kunnen spammers die filters omzeilen. Onder meer XS4ALL waarschuwt dat spamfilters daardoor steeds minder effectief worden.

“Dat het zover komt geeft aan dat er voor de spammers veel op het spel staat. Het is zo ongeveer oorlog”, concludeert Zenger.

Niet alleen spambestrijders zijn het slachtoffer. Ook spammers zelf hebben te maken met aanvallen en dreigementen. In de Verenigde Staten wordt in november een programmeur gearresteerd vanwege het bedreigen van medewerkers van een spambedrijf. De man dreigde onder meer een poederbrief (met miltvuur) naar het bedrijf te sturen.

Patrick de Bruin

In Nederland publiceren de weblogs Geenstijl en Retecool persoonlijke informatie (adres en telefoonnumers) van spammer Patrick de Bruin. De Bruin trekt in 2003 de aandacht met een niet aflatende stroom spamberichten voor hypotheken en cd-roms met miljoenen e-mailadressen.

Ook komt De Bruin in het nieuws door de eerdergenoemde reclamemail voor Extreemrechts.com. Deze spam zorgt, naast klachten bij het Meldpunt Discriminatie Internet (MDI), voor het nodige leedvermaak. In de link in het bericht ontbreekt namelijk de punt tussen `www’ en `extreemrechts’, waardoor geïnteresseerden bij een niet bestaande site uitkomen. (Later registreert iemand het adres wwwextreemrechts.com alsnog. Bezoekers van dat domein komen nu automatisch terecht bij een artikel van WebWereld.)

De Bruin ontkent iets met de spam voor Extreemrechts.com te maken te hebben. Er zijn echter veel aanwijzingen die wel degelijk op betrokkenheid van De Bruin wijzen. Zo komt de methode die is gebruikt bij het versturen van de spam voor Extreemrechts.com overeen met de methode die De Bruin – als een van de weinige Nederlandstalige spammers – toepast.

Extreemrechts.com wordt bovendien gehost door een Indiase provider waar ook andere sites van De Bruin staan. De Bruin blijkt daarnaast het domein Extreemrechts.nl via hostingprovider Digitalus te hebben geregistreerd. Deze site werd onder druk van het Leidse VVD-raadslid Frederik Zevenbergen uit de lucht gehaald. Het domein Extreemrechts.com staat geregistreerd op naam van `Frederik Zesbergen’.

Martijn Bevelander

Ontkenningen zijn er in 2003 ook van Martijn Bevelander. Als de BBC in juli onthult dat `De Beev’ betrokken is bij het spambedrijf Cyberangels, reageert hij aanvankelijk met de mededeling dat de berichtgeving `pure laster’ is. “Dit is net de Fabeltjeskrant.”

In de weken na de eerste berichtgeving van de BBC stapelen de bewijzen zich echter tegen Bevelander op. In september wordt bekend dat de Amerikaanse handelswaakhond de Federal Trade Commission (FTC) een onderzoek is gestart naar de handel en wandel van de Nederlandse internetondernemer.

Volgens Rejo Zenger bestaan er grote verschillen tussen `oudere’ spammers (zoals First Impressions en het inmiddels verdwenen AbFab) en de `nieuwe generatie’ (Patrick de Bruin, AkinFranks, Martijn Bevelander). “Bedrijven als AbFab en First Impressions opereren binnen of op de grenzen van de wet. Dat geldt zeker niet voor Patrick de Bruin en Bevelander.”

De nieuwe lichting spammers gaat `professioneel’ te werk, volgens Zenger. “Zeker sinds de zomer zijn er enkele spammers opgestaan die op uiterst professionele wijze spammen. Ze vervalsen afzendadressen, misbruiken open proxies van buiten de EU, laten hun sites hosten in Azië, sturen virussen mee en oogsten op grote schaal adressen in nieuwsgroepen en op het www.”

Wetgeving

Tegen de achtergrond van gekaapte computers, vervalste afzendadressen, DDoS-aanvallen en dreigementen doet de behandeling van enkele Europese anti-spamvoorstellen in de Tweede Kamer enigszins surrealistisch aan.

Zo toont het VVD-kamerlid Stef Blok zich bezorgd dat spammers door de Nederlandse maatregelen naar een `zonnig land’ zullen vertrekken. Blok voelt meer voor zelfregulering. Een spamverbod draagt volgens Blok alleen maar bij tot de ‘administratieve lasten’ bij het bedrijfsleven.

Pogingen van het PvdA-kamerlid Martijn van Dam om de anti-spamwetgeving aan te scherpen, stuiten op onwil van de regering. Onder druk van de werkgeversorganisatie VNO-NCW adviseert minister Piet Hein Donner (Justitie) de Tweede Kamer om niet in te stemmen met een voorstel van Van Dam om ook (werknemers van) bedrijven te beschermen tegen spam. Ook een voorstel om spammen in het strafrecht op te nemen, haalt het niet.

CAN-SPAM

In de Verenigde Staten moeten spammers er wel rekening mee houden dat ze achter de tralies verdwijnen. Na jarenlange discussies neemt het Amerikaanse Congres eind 2003 de anti-spamwet Controlling the Assault of Non-Solicited Pornography and Marketing Act (CAN-SPAM) aan.

Over de vraag hoe effectief de eerste federale (voor de hele VS geldende) wet zal zijn bij de bestrijding van spam lopen de meningen uiteen. Voorstanders menen dat de autoriteiten door CAN-SPAM belangrijke nieuwe bevoegdheden krijgen voor het aanpakken van spammers.

Veel spambestrijders beschouwen CAN-SPAM echter als een nederlaag. Omdat de wet werkt volgens het opt-out principe (spammen mag, totdat de ontvanger er bezwaar tegen maakt), wordt spam door de wet gelegaliseerd, menen zij.

Rejo Zenger noemt CAN-SPAM `een gemiste kans’. “CAN-SPAM doet zijn naam eer aan door het principe van opt-out als standaard in te stellen. Bovendien maakt die nieuwe wet een aantal, staatsgebonden, strengere wetten weer ongedaan.”

“CAN-SPAM zegt in feite dat de 23 miljoen Amerikaanse bedrijven alle Amerikaanse e-mailadressen mogen spammen, zolang ze maar een opt-out mogelijkheid bieden”, aldus de antispamsite Spamhaus in een reactie.

Steve Linford van Spamhaus ziet echter ook een lichtpuntje. Het vervalsen van de zogeheten header-informatie (met informatie over de afzender) wordt door CAN-SPAM verboden. Spam die via open proxies en gekaapte computers wordt verstuurd (volgens Spamhaus ongeveer 80 procent van alle spam), is daardoor niet langer toegestaan. Dat kan ervoor zorgen dat spamfilters beter kunnen werken.

Handhaving

Of de Europese en Amerikaanse antispamwetgeving succesvol zal zijn, is waarschijnlijk in hoge mate afhankelijk van de handhaving. In Nederland wordt de telecomwaakhond OPTA daarmee belast.

In de Verenigde Staten heeft een aantal grote bedrijven en lokale wetshandhavers de federale antispamwetgeving niet afgewacht. Daardoor werden in 2003 al diverse spammers voor de rechter gedaagd. In veel gevallen met succes.

Zo wordt de spammer Howard Carmack in mei veroordeeld tot het betalen van een schadevergoeding van zestien miljoen dollar aan internetaanbieder Earthlink. In december stelt een rechtbank Symantec in het gelijk in een zaak die de softwaremaker had aangespannen tegen een spammer die gekopieerde Symantec-software verkocht. Symantec ontvangt in totaal drie miljoen dollar van de spammer en zijn bedrijf.

Eveneens in december klaagt de Amerikaanse staat Virginia de spammer Jeremy Jaynes aan, wegens het vervalsen van afzendadressen. Ook Microsoft laat van zich horen. De softwarereus spant samen met de New-Yorkse procureur-generaal Eliot Spitzer (bekend van zijn strijd tegen zakenbanken die een dubieuze rol speelden tijdens de dotcom-hype) een rechtszaak aan tegen Scott Richter. Richter is volgens de antispamsite Spamhaus de op twee na grootste spammer ter wereld.

Zenger verwacht dat van de rechtszaken een afschrikwekkende werking uitgaat. “Daar staat wel tegenover dat een aantal spammers alleen maar meer middelen zal gaan zoeken om buiten schot te blijven – zoals ontraceerbaar en via het buitenland spammen.”