A spammerek nem csak címlisták alapján küldik ki a szemetet, de megpróbálják kitalálni (vagy minden lehetséges variáció kipróbálásával vagy csak a gyakoribb vezeték- ill. keresztnevekkel), hogy az @xy.hu alatt milyen címek létezhetnek. Ha a kiszolgáló 5xx üzenetet ad vissza, akkor aza cím nem elérhető, ha pedig 2xx választ, akkor találtunk egy érvényes címet. Ezt a támadási módra hivatkoznak Directory Harvest Attack (kb. címtár támadás) néven. Egy SMTP session pl. így nézhet ki:

RCPT TO: <aa@xy.hu>
550 5.1.1 <aa@xy.hu>: Recipient address rejected: User unknown
RCPT TO: <ab@xy.hu>
550 5.1.1 <ab@xy.hu>: Recipient address rejected: User unknown
...
RCPT TO: <bela@xy.hu>
250 2.1.5 Ok

Jól látható, hogy minél egyszerűbb egy email cím @ előtti része – pl. sj@ – annál hamarabb megtalálják. A neten bóklászva rátaláltam egy felhasználóknak szóló jótanácsok gyűjteményére, ahol azt javasolták, hogy ne legyen ilyen a címed, mint bela@xy.hu, hanem biggyeszd mellé a születési évedet, szeretőid számát, stb, és legyél mostmár bela1970@xy.hu vagy bela0001@xy.hu.

Nem tudom, te hogy vagy ezzel, de én ilyen email címet még egy utolsó ki-kicsoda szájton se adnék meg, hogy ezzel égessem magam. Az meg főleg komolytalannak hat, ha egy ceo/cio/coo/c** (szóval cxx vagy c++) névjegyén ez áll: buga.jakab1968@jonagyceg.hu.

Sokkal jobb megoldásnak tartom azt, ha megszámoljuk, hogy az SMTP kliens hány érvénytelen címmel próbálkozott (vagy hogy a kipróbált címek hány százaléka érvénytelen), és ha az elér egy adott limitet, akkor lezárjuk az adott TCP kapcsolatot, opcionálisan 5 percre nem állunk szóba az illetővel.

Egy nagyon ari* védekezést láttam az ExchangeDefender honlapján:

Az ExchangeDefender véletlenszerűen elfogad pár olyan címet is, amely valójában nem létezik náluk (valójában a kukába irányítja ezeket a leveleket). Így a spammer azt hiszi, hogy az egy érvényes email cím, és fel fogja venni a címlistájára, amelyet majd később elad. Miután a domainünket végigspammelte, gyakorlatilag az összes email cím érvénytelen, ezért rá fog kényszerülni, hogy az egész domainünket törölje a listájáról.

De szép is lenne! Ez azonban nem így működik. A spammert ugyanis nem érdekli, hogy hány email cím működik a listáján és hány nem, hanem csak az, hogy minél nagyobb legyen, hogy minél több pénzt szedhessen ki a megbízója zsebéből. Ha valaki azon gondolkodik, hogy egy spammer segítségével lendíti fel az év végi eladásokat, akkor hadd világosítsam fel: a spammerek a saját megbízóikat is átverik.

*: értsd: eszedbe ne jusson! Az ilyen megoldásokra használják az angol szakirodalomban a snake-oil kifejezést. Nehogy bedőlj minden süket dumának, amivel csak egy anti-spam termék menedzsere akar etetni.