Trimiterea de SPAM din cPanel poate apărea atunci când parola unei adrese de email este compromisă, un dispozitiv infectat continuă să utilizeze contul SMTP sau un website găzduit în același cont începe să trimită mesaje nedorite.
Atunci când observi sute sau mii de emailuri pe care nu le recunoști, este important să oprești rapid trimiterea. Un volum mare de SPAM poate afecta reputația IP-ului și a domeniului și poate determina alte servere de email să limiteze sau să respingă mesajele legitime.
cPanel permite suspendarea trimiterii pentru o singură adresă de email, fără să fie necesară oprirea întregului serviciu de mail. În acest fel poți izola rapid contul suspect și apoi identifica sursa problemei.
De ce poate începe o adresă de email să trimită SPAM?
Una dintre cele mai frecvente situații este compromiterea parolei unei căsuțe de email.
Atacatorul se autentifică prin SMTP folosind adresa și parola corectă și începe să trimită mesaje către un număr mare de destinatari.
Datele de acces pot fi compromise prin:
- parole slabe sau reutilizate;
- phishing;
- malware instalat pe calculator;
- parole salvate pe dispozitive compromise;
- configurarea contului pe un dispozitiv nesigur;
- expunerea parolei în urma unui incident extern.
Există însă și situații în care emailurile nu sunt trimise prin autentificarea unei căsuțe, ci direct de un website sau de un script PHP compromis.
Din acest motiv, înainte de a considera problema rezolvată trebuie identificată sursa reală a mesajelor.
Cum verifici dacă se trimit mesaje suspecte din cPanel?
În cPanel poți începe verificarea din:
cPanel → Email → Track Delivery
Această secțiune afișează informații despre mesajele procesate de cont și poate ajuta la identificarea unei activități neobișnuite.
În funcție de configurația serverului, poți vedea informații precum:
- adresa expeditorului;
- destinatarul;
- data și ora trimiterii;
- statusul livrării;
- utilizatorul care a inițiat trimiterea;
- adresa IP a expeditorului;
- tipul autentificării;
- mesajele respinse sau amânate.
Dacă observi într-un interval scurt foarte multe mesaje către destinatari necunoscuți, este posibil ca adresa de email sau aplicația care trimite mesajele să fie compromisă.
Cum oprești imediat trimiterea de SPAM dintr-o adresă?
Dacă ai identificat adresa care trimite mesajele, accesează:
cPanel → Email → Email Accounts
În dreptul adresei respective apasă:
Manage
În secțiunea Restrictions vei găsi mai multe opțiuni pentru controlarea căsuței.
Pentru:
Sending Outgoing Mail
poți selecta una dintre următoarele variante:
- Allow – permite trimiterea normală a mesajelor;
- Suspend – blochează trimiterea mesajelor;
- Hold – mesajele sunt acceptate, dar sunt păstrate temporar în coada serverului.
Dacă adresa trimite SPAM și dorești oprirea imediată a mesajelor, varianta Suspend este în general cea mai potrivită până când cauza este identificată.
Care este diferența dintre Suspend și Hold?
Diferența este importantă.
Suspend
Dacă selectezi:
Sending Outgoing Mail → Suspend
serverul va respinge mesajele pe care adresa încearcă să le trimită.
Această opțiune este utilă atunci când știi că respectiva căsuță a fost compromisă și dorești să oprești imediat activitatea.
Hold
Dacă selectezi:
Sending Outgoing Mail → Hold
mesajele nu sunt livrate imediat, ci sunt reținute în coada de email.
Această variantă poate fi utilă atunci când investighezi problema și nu ești încă sigur dacă mesajele sunt legitime.
Atenție: dacă schimbi ulterior setarea din Hold în Allow, mesajele aflate în coadă pot fi trimise.
Dacă acestea sunt mesaje SPAM, trebuie eliminate înainte de reactivarea normală a trimiterii.
Poți suspenda doar trimiterea și să primești în continuare emailuri?
Da.
Acesta este unul dintre cele mai utile avantaje ale funcției din cPanel.
Poți configura:
Receiving Incoming Mail → Allow Sending Outgoing Mail → Suspend
Astfel, utilizatorul poate continua să primească emailuri, dar nu mai poate trimite mesaje până la rezolvarea problemei.
Nu este necesar să ștergi căsuța sau să oprești întregul serviciu de email al domeniului.
Poți bloca și autentificarea în căsuța de email?
Da.
În aceeași secțiune Restrictions există și opțiunea:
Logging In
Dacă suspectezi că un atacator cunoaște parola contului, poți seta:
Logging In → Suspend
În acest mod sunt blocate autentificările în căsuța respectivă.
Pentru un cont compromis, o configurație temporară poate fi:
Receiving Incoming Mail → Allow Sending Outgoing Mail → Suspend Logging In → Suspend
În acest fel emailurile primite continuă să ajungă în căsuță, dar nu mai sunt permise autentificarea și trimiterea de mesaje.
Schimbă imediat parola adresei compromise
Suspendarea trimiterii oprește efectul imediat al problemei, dar nu elimină cauza.
Dacă există suspiciunea că parola a fost compromisă, aceasta trebuie schimbată.
Accesează:
cPanel → Email Accounts → Manage
și setează o parolă nouă, lungă și unică.
Nu reutiliza:
- vechea parolă;
- parola contului cPanel;
- parola WordPress;
- o parolă folosită la alte servicii online.
După schimbare, noua parolă trebuie configurată și în aplicațiile care utilizează adresa respectivă, precum Outlook, Thunderbird sau telefonul mobil.
Verifică toate calculatoarele și telefoanele pe care este configurată adresa
Dacă schimbi parola, dar o introduci imediat pe un calculator infectat, aceasta poate fi compromisă din nou.
Înainte de reactivarea contului este recomandată verificarea dispozitivelor pe care adresa este configurată.
Analizează în special:
- calculatoarele angajaților;
- laptopurile personale;
- telefoanele mobile;
- aplicațiile de email mai vechi;
- dispozitivele la care au avut acces alte persoane.
Dacă există suspiciunea unui malware, dispozitivul trebuie verificat înainte de configurarea noii parole.
Ce faci dacă SPAM-ul continuă după suspendarea adresei?
Dacă ai suspendat trimiterea pentru o adresă, dar serverul continuă să genereze mesaje suspecte, este posibil ca sursa să nu fie căsuța de email respectivă.
Mesajele pot proveni din:
- un website compromis;
- un plugin WordPress vulnerabil;
- un formular exploatat de boți;
- un script PHP infectat;
- un Cron Job malițios;
- o altă adresă de email compromisă.
În această situație trebuie analizat întregul cont de găzduire.
Suspendarea unei căsuțe blochează trimiterea efectuată prin contul respectiv, dar nu poate opri automat un script PHP care trimite email independent de autentificarea SMTP a acelei adrese.
Verifică website-ul pentru malware
Dacă sursa mesajelor pare să fie website-ul, verifică fișierele și aplicațiile instalate.
Un WordPress compromis poate conține scripturi care trimit emailuri în fundal fără ca administratorul site-ului să observe imediat.
Printre semnele care trebuie investigate se numără:
- fișiere PHP necunoscute;
- fișiere modificate recent fără explicație;
- pluginuri sau teme neactualizate;
- conturi WordPress necunoscute;
- Cron Jobs pe care nu le recunoști;
- cod obfuscat sau injectat;
- activitate neobișnuită în loguri.
Pe infrastructura NameBox este utilizată soluția de securitate Imunify360, care permite scanarea conturilor pentru identificarea fișierelor suspecte și a malware-ului.
Nu șterge imediat adresa de email compromisă
Ștergerea unei căsuțe nu trebuie să fie prima măsură.
Prin ștergere poți pierde mesajele și datele stocate în cont.
În majoritatea cazurilor este mai util să:
- suspendezi trimiterea;
- blochezi autentificarea;
- schimbi parola;
- verifici sursa activității;
- cureți dispozitivele sau website-ul compromis;
- reactivezi contul după finalizarea verificărilor.
Ștergerea este justificată atunci când adresa nu mai este utilizată și datele sale nu mai sunt necesare.
Verifică Forwarders și Email Filters
După compromiterea unei căsuțe este recomandat să verifici și dacă au fost create reguli pe care nu le recunoști.
În cPanel verifică:
Email → Forwarders
și:
Email → Email Filters
Un atacator care a obținut acces la cont poate încerca să redirecționeze anumite mesaje către o adresă externă sau să creeze reguli prin care ascunde anumite emailuri.
Elimină doar regulile pe care le-ai verificat și despre care știi că nu sunt legitime.
SPF, DKIM și DMARC opresc trimiterea de SPAM?
Nu în mod direct.
SPF, DKIM și DMARC sunt foarte importante pentru autentificarea domeniului și livrabilitatea mesajelor, dar nu pot împiedica o persoană care deține parola corectă a unei căsuțe să se autentifice prin SMTP.
Din acest motiv, o adresă compromisă poate trimite mesaje care trec unele verificări de autentificare.
Aceste mecanisme trebuie configurate corect, dar trebuie combinate cu:
- parole sigure;
- monitorizarea trimiterilor;
- limitarea volumului;
- protecția dispozitivelor;
- scanarea website-ului;
- reacția rapidă la o activitate suspectă.
Pentru verificarea configurației domeniului poți consulta articolul Verificare setări Email Deliverability în cPanel.
Cum limitezi trimiterea emailurilor pe un VPS cu WHM?
Dacă administrezi propriul VPS sau server cu acces WHM root, ai la dispoziție și măsuri suplimentare care nu sunt accesibile unui utilizator cPanel obișnuit.
Accesează:
WHM → Server Configuration → Tweak Settings → Mail
Aici poți configura limite și mecanisme de protecție pentru mesajele trimise de domeniile găzduite pe server.
Max hourly emails per domain
Opțiunea:
Max hourly emails per domain
stabilește numărul maxim de emailuri către destinatari externi pe care un domeniu le poate trimite într-o oră.
Nu recomandăm setarea unei valori universale pentru toate serverele.
Un magazin online, un sistem de notificări și un website simplu pot avea nevoi complet diferite.
Monitorizarea destinatarilor unici
cPanel poate monitoriza și numărul de destinatari unici către care trimite fiecare utilizator de email.
Din Tweak Settings poate fi activată opțiunea:
Monitor the number of unique recipients per hour to detect potential spammers
Atunci când este depășit pragul configurat, sistemul poate genera o notificare și, în funcție de setarea administratorului, poate:
- să nu ia nicio acțiune;
- să pună mesajele în Hold;
- să respingă mesajele outgoing ale contului.
Această funcție este foarte utilă pentru identificarea rapidă a unui cont compromis.
Limitează și mesajele eșuate sau amânate
Un comportament frecvent al campaniilor SPAM este trimiterea către liste foarte mari care conțin multe adrese inexistente.
Rezultatul este un număr ridicat de mesaje:
- Failed;
- Deferred;
- Bounced.
WHM permite configurarea unei limite pentru procentul mesajelor eșuate sau amânate.
Dacă domeniul depășește simultan pragurile configurate, serverul poate bloca temporar trimiterea emailurilor.
Acest mecanism poate limita efectul unui cont compromis înainte ca acesta să trimită volume foarte mari de SPAM.
SpamExperts și suspendarea din cPanel au roluri diferite
Dacă pentru domeniu este activ serviciul SpamExperts, acesta oferă un nivel suplimentar de filtrare pentru traficul de email.
Panoul poate fi accesat din:
cPanel → Professional Spam Filter
SpamExperts poate analiza mesajele și ajuta la filtrarea traficului nedorit, însă suspendarea unei căsuțe compromise rămâne o măsură separată.
Dacă o adresă începe să trimită SPAM, cauza trebuie identificată și eliminată, nu doar filtrate mesajele rezultate.
Pentru mai multe informații poți consulta articolul despre filtrul anti-SPAM SpamExperts.
Ce impact poate avea trimiterea de SPAM?
O adresă compromisă care trimite un volum mare de mesaje poate afecta mai mult decât căsuța respectivă.
Pot apărea:
- blocarea temporară a trimiterii;
- reputație scăzută pentru IP;
- reputație scăzută pentru domeniu;
- listarea IP-ului în blocklist-uri;
- respingerea mesajelor legitime;
- livrarea emailurilor în Spam;
- consum inutil de resurse pe server.
Din acest motiv este important ca activitatea să fie oprită cât mai repede.
Checklist dacă o adresă trimite SPAM
Dacă suspectezi compromiterea unei adrese de email, verifică în această ordine:
- analizează mesajele din Track Delivery;
- identifică adresa care generează activitatea;
- setează Sending Outgoing Mail pe Suspend;
- blochează temporar Logging In dacă este necesar;
- schimbă parola contului;
- verifică toate dispozitivele pe care este configurată adresa;
- verifică Forwarders și Email Filters;
- analizează website-ul și fișierele pentru malware;
- verifică dacă există Cron Jobs suspecte;
- verifică SPF, DKIM și DMARC;
- reactivează trimiterea doar după identificarea și eliminarea cauzei.
Oprește întâi trimiterea, apoi identifică sursa
Când o adresă începe să trimită sute de mesaje pe care nu le recunoști, prioritatea este limitarea rapidă a incidentului.
Din cPanel → Email Accounts → Manage poți suspenda doar trimiterea mesajelor și poți permite în continuare primirea emailurilor. Astfel nu este necesar să dezactivezi complet domeniul sau să ștergi căsuța.
După suspendare, schimbă parola și verifică dispozitivele, website-ul și celelalte componente ale contului. Dacă mesajele continuă chiar și după blocarea adresei, sursa poate fi un script sau un website compromis și este necesară o investigație la nivelul întregului cont de găzduire.
Dacă serviciul este găzduit la NameBox și observi o activitate neobișnuită de email, poți deschide un ticket de suport pentru verificarea trimiterilor și identificarea sursei mesajelor.