Las economías de escala en el negocio del correo indeseado

Nuevas investigaciones enfocan analíticamente la pregunta, “¿cuántos tontos se necesitan para que una operación de correo indeseado sea viable?”

“¡Barak Obama está al borde de la muerte!”

Este encabezado en un correo indeseado que se envió antes de las elecciones de EE.UU. tuvo serios problemas de credibilidad (probablemente hubiera sido mejor deletrear correctamente el nombre del candidato), pero recibió la atención del público. Fue una de las muchas ráfagas de correo basura que usaron temas relacionados con la campaña para hacer que los lectores desconfiados abrieran el mensaje. Esta misiva particular incluía una imagen que, cuando se pulsaba, llevaba a los destinatarios más crédulos al sitio de una farmacia que vende su mercancía en la Internet.

[<img border="0" src="/pcwla2.nsf/0/9139E9169ED64850852575530072CB5C/$File/61lombricesfeb09.gif">]

El humo de los piratas

Otros mensajes de correo indeseado que se enviaron antes de las elecciones prometían fotos de la esposa de uno de los candidatos desnuda, culpaban al presidente Bush de la muerte de una figura pública (que se encontraba en perfecto estado de salud), o advertían que “El Estado corre peligro”. Todos los ejemplos (captados por la compañía Cloudmark, que se dedica a combatir el spam) muestran que los remitentes de este correo indeseado tratan de hacer sus envíos masivos más atractivos encabezándolos con titulares falsos sobre personas prominentes que figuran en las noticias. Pero ¿quién se traga esa basura?

La buena noticia es que pocas personas se lo creen. Una infiltración de las redes de correo indeseado por los investigadores nos permite dar un vistazo a las “tasas de conversión” de este correo, es decir, el porcentaje de personas que responde a cada anuncio publicitario que aparece en línea, correo directo, o correo indeseado que se les envía. Según el estudio, “Spamálisis: Un análisis empírico de la conversión en la publicidad por medio del correo indeseado” (www.pcwla.com/buscar/09026101)), sólo 1 en 12,5 millones de mensajes indeseados terminan haciendo caer en la trampa a alguien tan tonto como para comprar en una farmacia falsa en la Internet. Pero incluso ese porcentaje de respuesta minúsculo es suficiente para recompensar a los remitentes de spam con una buena ganancia.

Hay un sinfín de silenciosos rastreadores de cookies y otras herramientas que ayudan a los comercios a medir la tasa de conversión para los “banners” y otras formas de publicidad, pero los números para el correo indeseado son normalmente muy difíciles de obtener. Para superar este problema, los investigadores de informática en la Universidad de California en Berkeley y San Diego secuestraron una porción de la botnet llamada Storm, que utiliza una red enorme de PC infectadas por programas maliciosos para enviar correo indeseado y realizar otras sucias actividades.

Una ratonera mejor

Los investigadores captaron algunas de las órdenes de trabajo enviadas a través de la red de control de la botnet y sustituyeron clandestinamente en el correo indeseado los vínculos de la Web por su propio contenido. Cuando se pulsaban, los vínculos modificados llevaban al usuario a sitios que simulaban el sitio de la farmacia del remitente del spam, completo con carrito de compras y todo, o bajaron e instalaron un archivo inofensivo en lugar del programa malicioso de Storm. Los usuarios en cuestión, de no ser así, hubieran desperdiciado su dinero (y posiblemente expuesto sus números de tarjeta de crédito a más fraude), o hubieran sido infectados por programas realmente maliciosos, lo que refuerza el caso de los investigadores de que sus acciones fueron éticas y que ayudaron a impedir daños, incluso mientras recolectaban datos fascinantes.

Desde el 21 de marzo al 15 de abril de 2008, el estudio rastreó unos 347 millones de mensajes de correo electrónico que vendían productos farmacéuticos y 124 millones más que intentaban infectar las computadoras con programas maliciosos. Sólo una pequeña fracción llegó a las bandejas de entrada de los destinatarios y los investigadores encontraron que “los proveedores de correo más populares de la Web hicieron todos un trabajo muy bueno al filtrar las campañas que pusimos en observación”.

¿Un monto insignificante?

De las personas que recibieron el correo indeseado, 28 trataron de comprar artículos del sitio falso de los investigadores (menos una de ellas, todas las demás optaron por “productos para aumentar la virilidad”). La compra promedio de alrededor de US$100 realizada por esos visitantes puede parecer poca cosa, pero los autores del estudio estiman que si la botnet de Storm enviara el correo indeseado de la farmacia al mismo ritmo por un año y tuviera la misma tasa de aciertos, la renta anual llegaría a la nada despreciable cantidad de US$3,5 millones. Incluso cuando se restan los costos de operación como los de los sitios de hospedaje en la Web y los servidores desde los cuales se envían las órdenes de la botnet (un costo que los autores no pudieron comprobar), la ganancia potencial es grande.

Es desalentador comprobar que la economía del correo indeseado significa que no va a desaparecer en el futuro. Pero un triunfo reciente del bando de los buenos ofrece un rayo de esperanza en la pelea contra los malos.

Los métodos que se valen de botnets, como el gusano de Storm, necesitan un lugar que hospede sus centros de mando, donde se distribuyen las órdenes –enviar correo indeseado, lanzar un ataque desde Internet y demás– a su ejército de PC infectadas. Los proveedores de hospedaje “a prueba de balas” ofrecen ese servicio y suelen hacer caso omiso a las quejas de los investigadores que tratan de cerrarlos. Pero hace poco, un centro de hospedaje importante resultó no ser tan invulnerable a las balas.

Las compañías que ofrecen acceso a Internet para el centro de datos McColo Corp., un proveedor en San José, retiraron el acceso en noviembre después de que el Washington Post publicara el juego sucio que estaba ocurriendo allí (www.pcwla.com/buscar/09026201). Ese paso tuvo un efecto drástico inmediato en los niveles de correo indeseado. Matt Sergeant, un técnico de la lucha contra el correo indeseado en MessageLabs, dice que el correo electrónico basura que cayó en las trampas de correo indeseado de su compañía bajó a un tercio de su nivel normal después de que fueran apagados los servidores de McColo.

Sergeant y otros esperan que el correo indeseado regrese cuando sus remitentes encuentren nuevos anfitriones. “Pero aun si los niveles de correo indeseado volvieran a subir mañana”, dice, “es verdaderamente una victoria, pues miles y miles de millones de mensajes de correo indeseado no fueron enviados”.

Cantidades incontables de correo indeseado inundan nuestras bandejas de entrada cada año. ¿Cuánto le costó esa inundación a usted?

-Por Erick Larkin

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.