Спам и антиспам

Некоторое время назад я писал здесь про антиспам для WordPress — историю о том, как из недоступного клиентам Cloudflare и дырявых бесплатных решений родился свой плагин геоблокировки, а чуть позже — вторую часть с разбором критики и рассказом, что успело поменяться. В конце самой первой статьи была одна проходная фраза: «параллельно ведется разработка аналогичного решения для 1С Битрикс — задача там несколько сложнее архитектурно, но подход тот же». С тех пор модуль доехал до Маркетплейса, обзавелся парой обновлений и первыми покупателями. Расскажу, что получилось — и почему для Битрикса такая защита понадобилась даже раньше, чем для WordPress.

Внутри:

- Как избавиться от тех, кто ПОСТОЯННО кликает по вашей рекламе.
- Защищаем сайт БЕЗ КАПЧИ: рисуем кнопку, которая будет невидима для бота.
- Как вычесть мусорные визиты из Яндекс.Директа.
- Как кормить Директ конверсиями, чтобы он НЕ учился на МУСОРЕ.

И ТОПовый лайвхак! Ловушка для ботов, которую может повторить каждый.

Покажу простой эксперимент, с помощью которого можно своими глазами увидеть и доказать, что по вашей рекламе кликает именно бот.

В прошлой статье я рассказывал, почему в какой-то момент пришлось делать собственный Анти Бот для WordPress: Cloudflare для части клиентов стал недоступен, а платные альтернативы вроде облачных WAF просят от 10 тысяч рублей в месяц за один сайт – и это при том, что задача у большинства клиентов скромная: отсеять спам-регистрации, спам в комментариях и мусор в формах обратной связи.

Статья неожиданно вызвала живое обсуждение, и часть комментариев была настолько по делу, что отвечать одной строкой в треде было бы нечестно. Так что это скорее не «часть 2» в смысле новой большой темы, а закрытие долгов перед читателями плюс рассказ о том, что успело измениться в плагине с мая.

Привет, Хабр! На связи команда Just AI. Два раза в год мы проводим конференцию Conversations — это от 500 до 700 участников, и каждый из них должен получить персональную памятку: уникальный ID для входа в приложение, персональную ссылку на трансляцию, информацию о программе. Звучит несложно до тех пор, пока не выясняется, что 30% писем вообще не доходят — участники из крупных банков и госструктур просто не видят их: корпоративные фильтры блокируют письма на уровне инфраструктуры.

В этой статье расскажем, как мы собрали автоматизированный workflow* на агентной платформе, который отправляет персонализированные письма — и проверили, что они действительно доходят даже на домены крупных банков. Это был самый оперативный способ облегчить жизнь команды, которая в день конференции получала десятки писем с одними и теми же вопросами.

* В этом решении нет языковой модели и принятия решений, только детерминированная цепочка шагов.

Как вы считаете, антифрод уже замедляется в попытках остановить армию ботов? Уже виднеется где-то вдалеке окончание его потуг отследить, найти, обнаружить и детектировать пользователя при посещении сайта?

Как будто все еще только начинается. Давайте разберемся, что еще могут предложить системы защиты кроме отслеживания пользователя по отпечаткам браузера, насколько это безопасно и ресурсоемко для пользователя? Разбираем что из себя представляет поведенческий антифрод.

В конце 2024 года спам составлял почти половину мирового почтового трафика — 47,27%. Подобные рассылки съедают ресурсы серверов, скрывают мошеннические схемы и обходятся бизнесу потерянными часами продуктивности. Технические фильтры помогают, но не решают проблему. Разбираемся, как правительства десятилетиями выстраивали вокруг спама правовую базу.

Внеочередная публикация с мнением относительно последних фич Макса. Просто не могу не прокомментировать.

Мечта любого бизнесмена — чтобы в ответ на релевантный вопрос пользователя поисковая система (или нейронка) рекомендовала именно его товар. Нативно, без рекламы. Просто на первом месте поиска. А в случае LLM — как «правильный» и наиболее верный ответ, со ссылкой на сайт.

И так называемые «оптимизаторы» реализуют эту мечту. Они адаптируют контент сайта таким образом, что его можно продвинуть и «скормить» краулерам LLM.

Как сеошники прошлых лет портили оптимизировали контент старых сайтов, так оптимизаторы нового поколения наполняют Хабр текстами, которые пишутся для нейронок. Теперь это называется AEO (answer engine optimization) — оптимизация для AI-движков.

Одолели спамеры? Пять раз в день предлагают банковские карты, медицинские услуги и недвижимость? Вы знали, что у вас есть права? Так сказано в Конституции, и я с ней согласен!

При распространении рекламы по сетям электросвязи (звонки, смс и пуш сообщения) рекламораспространитель обязан заручиться предварительным согласием абонента.

Если такое согласие у него отсутствует – звонок незаконен, а вы имеете право отправить жалобу в местное Управление ФАС. Управление попробует найти и оштрафовать спамера. Как правило, находит и штрафует.

Что такое реклама с точки зрения закона и куда на неё жаловаться – узнаете под катом.

Привет, Хабр!

В этой статье я расскажу об эволюции моего проекта — GroupModerBot, бота для модерации Telegram‑групп. Я покажу, как проект прошел путь от первой версии «всё в одном файле» до продуманной архитектуры с ООП, in‑memory кэшированием, безопасным выполнением команд и нестандартными алгоритмами наказаний пользователей.

ХА-ХА-ХА. Я оказался настолько туп, что почти три месяца платил по 100к за кампанию, в которой конвертировали только жители стран СНГ на андроидах. Оказалось что они и КИТАЙСКИЙ знают.

295000 рублей - Суммарная цена моей ошибки. Лучше бы я разыграл MacBook. Я просто верил в себя - думал, такую составную конверсию не подделать. Какой же я наивный.

Внутри вскрытие бот-сети, которая кликает и конвертит в промышленных масштабах. Боты решают все капчи, имеют аккаунты в соц сетях, работают на реальных андроид устройствах.

Эта же схема кликает и по вашей рекламе - читайте в этой статье.

Привет, Хабр!

Решил наконец‑то рассказать о проекте, который уже полгода живёт в тени моего личного репозитория. Речь пойдёт о боте для борьбы со спамом в Telegram‑чатах. Это не просто «очередной антиспам бот», а решение, которое я писал с нуля, включая архитектуру нейросети для классификации текстов.

Забегая вперёд: бот бесплатный и открытый к тестированию. И он работает. Но обо всём по порядку.

За нами кто‑то следит!
Вот ты занят своим делом, и тебе звонят с предложением купить недвижимость во Владивостоке, а ты даже не понял, откуда у них твой номер. Как вообще они о тебе узнали?

Т.е. с одной стороны РКН вводит огромные штрафы за утечку персональных данных, а с другой — постоянно идут звонки с предложениями, хотя ты своих контактов не оставлял, и разрешения на перезвон не давал.

Внутри:
— 4 метода слива наших телефонов
— Как и кому сливаются сайты (домены) которые мы посещаем
— Как сливаются входящие и исходящие на наш номер телефона
и как с этим бороться.

Хороший спамер не использует ссылки и стоп-слова. Он пишет «обтекаемо». Большинство ботов такое не ловят — просто потому что не умеют.

Это я понял после одной неприятной ночи в нашем чате. Потом потратил несколько недель, чтобы разобраться: что вообще умеют популярные Telegram-модераторы, где у каждого потолок — и есть ли хоть один, который с этим справляется.

Несколько недель я наблюдал за работой каждого бота в реальных чатах — от небольших групп на 50 человек до активных сообществ на 400+. Параллельно читал документацию, смотрел на поведение при разных сценариях: спам, флуд, вступление новых участников, пересылка сообщений из внешних каналов. Всё описанное ниже — наблюдения из живой среды, не из изолированных экспериментов.

Одноразовые алиасы скрывают основной почтовый ящик и надёжно защищают от спама через включение/отключение алиасов, которые засветились у спамеров.

Оригинальный hosted-сервис Addy.io (AnonAddy) предоставляется как платная услуга. Хотя есть бесплатная версия, но она работает с ограничениями. При этом исходный код сервера открыт, так что его можно установить на VPS и использовать без ограничений — со всеми функциями платной подписки и без ограничений трафика.

Скам на рынке труда существует давно. Фейковые вакансии, фишинговые письма, поддельные HR. Но раньше это требовало много ручной работы: написать каждому кандидату, подобрать убедительную легенду под его профиль, поддерживать диалог. Масштаб был ограничен.

С приходом ИИ-агентов это стало конвейером.

Теперь агент сам изучает профиль разработчика, генерирует персонализированную вакансию под его стек, ведёт диалог и имитирует живого человека. Одновременно для тысяч людей. Как спам-рассылки и фишинг в своё время из ручного труда превратились в автоматизированные атаки. То же самое теперь происходит со скамом на рекрутинговых платформах.

Я наткнулся на одну из таких схем. Рассказываю как было, что нашёл внутри и как защититься.

Kaspersky выпустил глобальный отчёт по киберугрозам на основе данных своих сервисов MDR, Incident Response и Compromise Assessment. Внутри — статистика по реальным атакам на 200 000 корпоративных клиентов, разбор тактик злоумышленников и неожиданные цифры о том, насколько плохо большинство SOC используют собственные данные.

Разбираю главное

Ниже перечислены лучшие техники для сокрытия email-адресов от глаз спам-ботов, наряду со статистикой их эффективности.

В идеале нужно использовать комбинацию из таких техник. К примеру, поделить адрес на два сегмента и каждый защитить своей.

Сравниваю бесплатные лимиты GigaChat, YandexGPT и Gemini Flash для реальной задачи: антиспам-бот в Telegram, 5000 сообщений в сутки. Считаю токены, потоки и рублики. Разница в лимитах оказалась в 1000 раз.

Вебинары раз в полгода, дорогие видеокурсы, геймификация с баллами и мультики про злобных хакеров — всё это не работает. Могло бы работать, если бы встраивалось в системную программу security awareness. И если бы симуляции отвечали реальным угрозам, а не воспроизводили шаблоны десятилетней давности.

Учебные симуляции не дают эффекта, потому что реальные риски никто не оценивал, а атаки давно не ограничиваются массовыми рассылками типа «Срочно переведи деньги! Некогда объяснять».

Из этого возникает несколько вопросов. Как понять, что именно нужно тестировать? Какие сценарии важны для конкретной компании? Что имеет смысл заказывать у внешних подрядчиков? Чтобы ответить на них, обратимся к международным стандартам. Эти стандарты появились не для галочки — за ними стоит анализ реальных инцидентов и лучших практик.