De evolutie van e-mailspam

De eerste spam-e-mail werd in 1978 door Gary Thuerk verstuurd naar ongeveer 400 mensen. De e-mail bevatte een brochure voor de DECSYSTEM-20-computers. Het was waanzinnig succesvol en leverde ongeveer $13 miljoen aan omzet op. Het opende ook e-mail als een nieuw kanaal om klanten te bereiken en producten te verkopen.

Er zijn twee manieren om naar e-mailspam te kijken.

1. Het komt in je inbox terecht, je klikt op verwijderen, wat is dan het probleem?

2. Een internationaal kat-en-muisspel, waarbij jouw inbox, en wat daarin belandt, in de frontlinie staat terwijl big tech, overheidsinstanties en criminele organisaties strijden om jouw veiligheid, jouw aandacht en jouw bankrekening.

Die tweede kijk klinkt misschien dramatisch, maar als het je een paar hoofdpijndossiers en misschien zelfs wat geld bespaart, is het de moeite waard om het te begrijpen, toch?

Nou… het begint allemaal met een grap over een blik ingeblikt vlees.

Wat is een spam-e-mail, en waarom heet het spam?

Spam kan van alles zijn: advertenties, oplichting, ongewenste nieuwsbrieven, de lijst gaat maar door. Maar één ding is spam niet: uitgenodigd. Zoals een zwerm muggen die verschijnt bij de eerste vermelding van de zomer, komt spam bijna altijd in grote hoeveelheden. Het is ongevraagd, ongewenst en behoorlijk irritant.

Maar waarom deelt het zijn naam met een blik ingeblikt vlees gemaakt van varkensschouder en ham? Daarvoor kunnen we een beroemde sketch van Monty Python bedanken, waarin het woord “spam” steeds opnieuw werd herhaald, bijna tot waanzin toe. Daardoor werd “spam” een symbool van het onophoudelijke en ongewenste. In 1993 nam een slimme internetgebruiker dit idee over en beschreef een stortvloed aan herhaalde berichten als spam, en voilà, de naam bleef hangen.

Maar ondanks de eigenaardige oorsprong geeft het woord zelf niet weer hoe schadelijk spam kan zijn – of hoe moeilijk het is om ervan af te komen. Net als muggen dragen spam-e-mails vaak gevaarlijke inhoud met zich mee die grote schade aan je apparaten kan aanrichten. Om nog maar te zwijgen van het risico voor je persoonlijke gegevens en de migraine die kan ontstaan wanneer je inbox wordt overspoeld met dubieuze advertenties. Maar inzicht in de geschiedenis helpt. Als je begrijpt hoe spam zijn weg naar je inbox vindt, kun je het beter buiten de deur houden.

Wanneer werd de eerste spam-e-mail verstuurd?

Dus waar komt spammail vandaan? Je zult misschien verbaasd zijn te horen dat de eerste spam-e-mail werd verstuurd voordat het internet überhaupt bestond. Het kwam niet van een schimmige criminele groep, maar van één marketeer die een nieuwe lijn computers probeerde te verkopen, en geloof het of niet, het leverde miljoenen op.

In 1978 stuurde marketingmanager Gary Thuerk een e-mail naar ongeveer 400 mensen via ARPANET, het militaire netwerk dat aan het internet voorafging. Zijn bericht was een uitnodiging voor een presentatie over de nieuwe DECSYSTEM-20-computers. De e-mail leverde ongeveer $13 miljoen aan omzet op, maar irriteerde ook bijna iedereen die hem ontving.

Het interessantste deel van dit verhaal uit de spamgeschiedenis is niet wanneer de e-mail werd verstuurd, maar het tweesnijdende zwaard achter e-mailspam. Aan de ene kant valt er enorm veel geld te verdienen met advertenties die naar honderden, duizenden of zelfs miljoenen mensen worden gestuurd. Maar spam is overduidelijk irritant. Helaas is dit de duw-en-trekverhouding die spam door zijn turbulente geschiedenis zal blijven volgen.

Hoe is spam in de loop der decennia geëvolueerd?

Als je het geluk hebt opgegroeid te zijn in het tijdperk van bescherming door Google en Microsoft, herinner je je misschien de begindagen van het internet niet, toen spam uit je inbox krijgen meer een handmatige taak was.

Tijdlijn van de evolutie van e-mailspam

Jaren 1980–1990: het wilde westen van e-mail

In 1983, een jaar vóór George Orwells voorspelling van een totalitaire superstaat, kreeg iets heel anders vorm. Voor het eerst werd het mogelijk dat meerdere onafhankelijke netwerken met elkaar verbonden werden, waarmee de basis werd gelegd voor het wereldwijde netwerk van netwerken van vandaag, oftewel het internet zoals wij het graag noemen.

In het volgende decennium kwamen miljoenen nieuwe gebruikers online en begonnen e-mailadressen aan te maken. Er was geen centrale autoriteit die kon zeggen: “dat mag je niet doen”, en e-mail kon in feite dienen als een gratis advertentiekanaal. Eén bericht dat naar duizenden, zelfs miljoenen mensen werd gestuurd, tegen bijna geen kosten.

Wat was het resultaat? In de jaren 1990 explodeerde spam, en dat gold ook voor de pogingen om het onder controle te krijgen. In 1994 lanceerden de advocaten Canter & Siegel hun beruchte advertentie “Green Card Lottery” in duizenden Usenet-groepen, vaak gezien als de eerste grote commerciële spamcampagne. Verdedigingsmaatregelen volgden al snel. Het Mail Abuse Prevention System (MAPS) introduceerde in 1996 de eerste Real-time Blackhole List, waarmee mail van bekende spamservers werd geblokkeerd, en groepen zoals Spamhaus bouwden blocklists op en deelden informatie om spammers buiten de deur te houden.

Jaren 2000: het decennium waarin spam duister werd

De jaren 2000 markeerden misschien het einde van het millennium, maar voor velen was het het echte begin van irritante e-mails die inboxen overspoelden. Google, Yahoo en Microsoft sprongen allemaal op de anti-spamtrein. Maar het ging niet langer om flauwe advertenties of snel-rijk-worden-schema’s, spam werd duisterder. Spammers waren begonnen met het gebruik van “botnets”, netwerken van geïnfecteerde computers, om op enorme schaal spam te versturen.

Overheden besloten dat het tijd was om in te grijpen. In 2003 voerden de VS de CAN-SPAM Act in (Controlling the Assault of Non-Solicited Pornography and Marketing). Die verplichtte spammers om afmeldverzoeken te respecteren en misleidende onderwerpregels te vermijden, maar de keerzijde was dat de verantwoordelijkheid nog steeds bij ontvangers lag om zich af te melden. Europa koos daarentegen voor een strengere aanpak. De EU zette een opt-insysteem op voor e-mailmarketing, wat betekende dat bedrijven geen commerciële e-mails mochten sturen zonder eerst toestemming te krijgen.

De jaren 2000 markeerden de echte explosie van het kat-en-muisspel dat spam zou gaan definiëren. Spammers bedachten nieuwe trucs en verdedigers vonden manieren om die tegen te gaan. Neem bijvoorbeeld Bayesiaanse filtering: die scant de woorden in een e-mail, berekent de waarschijnlijkheden en beslist of het rommel of legitiem is. Toen het voor het eerst verscheen, was het een doorbraak in hoe e-mailproviders spam konden aanpakken. In 2004 voorspelde Bill Gates zelfs dat het spamprobleem binnen twee jaar opgelost zou zijn. Maar zoals altijd pasten spammers zich snel aan.

Voorbeelden van de spamstrijd in actie:

Het moderne tijdperk: toen spam leerde denken

Stephen Hawking waarschuwde ooit dat mensen op een dag voor AI zouden kunnen zijn wat honden voor mensen zijn, een ontnuchterende gedachte. En hoewel dat somber klinkt, is het niet overdreven om te zeggen dat de opkomst van AI net zo ingrijpend kan zijn als de uitvinding van de stoommachine. Het is dan ook geen wonder dat AI de strijd vormgeeft tussen degenen die winst willen maken met spam en degenen die het proberen te beheersen. Het verschil is dat AI, in tegenstelling tot traditionele spamfilters, kan leren en zich kan aanpassen.

De ironie is dat oplichters dezelfde tools gebruiken om hun spam-e-mails te verbeteren als studenten gebruiken om hun examens te halen. Vóór AI-tools zaten spam-e-mails vol typefouten, grammaticafouten en duidelijke rode vlaggen. Nu kunnen dankzij grote taalmodellen spam-e-mails met foutloze grammatica, gelokaliseerde toon en gepersonaliseerde invalshoeken massaal worden verstuurd. In plaats van 10’000 identieke e-mails te versturen, kunnen oplichters 10’000 licht verschillende e-mails sturen en censuur vermijden. Door tekst door modellen te halen die spambeoordeling simuleren, kunnen aanvallers hun berichten aanpassen totdat ze “veilig” lijken.

E-mailgiganten doen hetzelfde. Ze gebruiken AI en machine learning niet alleen om inhoud te scannen, maar ook om afzendergedrag, netwerksignalen en zelfs de context van berichten te analyseren. Gmail kan bijvoorbeeld nu verdachte patronen herkennen, zoals plotselinge pieken van e-mails vanaf nieuwe domeinen of inhoud die bekende phishinglokkertjes nabootst, en zich in realtime aanpassen om nieuwe spamcampagnes stop te zetten.

Welke impact heeft spam gehad op e-mail en bedrijven?

Als we teruggaan naar het oorsprongsverhaal van spammail en zijn naamgenoot uit Monty Python, dan was het thema simpel: irritant. Toen werd de meeste spam precies zo gezien. Maar in de decennia daarna is het veel gevaarlijker geworden. Op de verkeerde link klikken kan nu virussen of ernstig financieel verlies betekenen.

En het zijn niet alleen individuen die risico lopen. Sinds de jaren 2000 hebben oplichters uitgekiende manieren bedacht om grotere doelwitten aan te vallen. Veel van deze trucs hebben zelfs pakkende bijnamen die verhullen hoe ernstig de gevolgen kunnen zijn.

Voorbeelden van spam gericht op bedrijven:

Massaspam en oplichting – Bulk-e-mails overspoelen nog steeds dagelijks inboxen, van irritante advertenties tot valse loterijen of “Nigeriaanse prins”-constructies. Ze zijn laagdrempelig, maar vervuilen inboxen en kunnen werknemers nog steeds misleiden.

Phishing-e-mails – Doen zich voor als vertrouwde merken en lokken gebruikers naar valse sites. Ooit onhandig, zijn deze phishing-e-mails nu gepolijst, geautomatiseerd en moeilijk van het echte werk te onderscheiden.

Spear phishing en whaling – Gerichte aanvallen waarbij echte namen of projecten worden gebruikt om specifieke werknemers te misleiden. Wanneer ze op leidinggevenden zijn gericht, heet dat “whaling”, en de buit kan enorm zijn.Business Email Compromise (BEC) – Criminelen doen zich voor als CEO’s, leveranciers of HR om personeel te misleiden geld over te maken of gegevens te versturen.

Malware en ransomware – Spam bevat vaak kwaadaardige bijlagen of links. Eén klik kan virussen of ransomware loslaten, hele systemen vergrendelen en bedrijven miljoenen kosten.

Maar het echte gevaar zit in de schaal van de gevolgen. Spam verspilt op enorme schaal tijd. Werknemers die e-mails in twijfel trekken of managers die valse alarmen onderzoeken. Het knaagt allemaal aan de productiviteit.

Wat spam echt kost

De FBI schat dat alleen Business Email Compromise meer dan $50 miljard tussen 2013 en 2022 heeft gekost. Daarom blijft de strijd tegen spam zich ontwikkelen. Filters kijken nu verder dan trefwoorden en scannen patronen, bijlagen en zelfs afzendergedrag. Wetten zoals CAN-SPAM en GDPR stellen regels op rond toestemming en transparantie. En e-mailproviders hebben beveiligingen toegevoegd zoals SPF, DKIM en DMARC, waardoor het voor aanvallers veel moeilijker wordt om zich voor te doen als iemand anders.

Hoe bestrijden we spam vandaag de dag?

Moderne spamfilters worden aangedreven door AI en machine learning. Ze kunnen afzendergedrag en de context van het bericht analyseren en zich vervolgens in realtime aanpassen.

Maar bewustwording blijft belangrijk. Zelfs met de beste spamfilters moet training van werknemers een belangrijk onderdeel worden van het stoppen van spam.

Hoe je jezelf kunt beschermen tegen spam-e-mails

Tegenwoordig voeren bedrijven regelmatig bewustwordingsprogramma’s uit die mensen leren om rustiger te werk te gaan en rode vlaggen te herkennen, of verzoeken te verifiëren voordat ze handelen. Enkele daarvan zijn:

Denk na voordat je klikt

Beproefd advies geldt hier nog steeds. Als je een e-mail hebt ontvangen die je niet verwachtte en je kent de afzender niet, klik dan niet op een willekeurige link. Op desktop kun je met de muis over de link bewegen, of op mobiel lang indrukken om eerst de echte bestemming te bekijken. Als het linkadres en het echte adres verschillen, is dat een rode vlag.

Als je toch besluit op een e-maillink te klikken, laat je dan niet misleiden door een hangslot naast de URL, want dat betekent niet dat de site veilig is. Het hangslot bevestigt alleen dat iemand de verbinding heeft versleuteld. Helaas kan een phishingsite net zo gemakkelijk een SSL-certificaat krijgen als een legitieme site.

Controleer de afzender 

De weergavenaam in een e-mail is niet altijd de echte identiteit van de afzender. Dat komt doordat iedereen die kan veranderen in iets totaal anders. Om de echte identiteit te verifiëren, moet je het exacte e-mailadres controleren waarvan de e-mail afkomstig is.

Soms is dit duidelijk, bijvoorbeeld als de e-mail afkomstig is van een goedkoop, wegwerpbaar gratis e-mailadres. Maar het is niet altijd zo eenvoudig. Aanvallers vermommen e-mails vaak door een paar tekens te veranderen, zoals @p4ypal.com. Als je niet zeker weet of de e-mail echt is, kun je het beste contact opnemen via de officiële communicatiekanalen.

Kies een provider met SPF, DKIM, DMARC

Als het om spam gaat, zijn SPF, DKIM en DMARC de gouden standaard voor e-mailauthenticatie. Ze zijn de beste manier om te bepalen of e-mails die vanaf jouw domein worden verzonden echt van jou komen, of van een bedrieger. SPF controleert of de e-mail afkomstig is van een server die namens jou mag verzenden. DKIM voegt een fraudebestendige handtekening toe, zodat het bericht onderweg niet ongemerkt kan worden aangepast. DMARC verbindt die twee en vertelt de ontvangende server wat die moet doen wanneer een bericht de controle niet doorstaat.

Het goede nieuws is dat je dit allemaal niet handmatig hoeft in te stellen. Een goede e-mailprovider zou dat voor je moeten doen. Dus als je kiest waar je je e-mail wilt hosten, zoek dan naar een provider die standaard SPF, DKIM en DMARC ondersteunt.

Gebruik 2FA

2FA voegt een tweede beveiligingslaag toe aan je account. Het staat voor tweefactorauthenticatie en betekent in feite dat je met twee dingen in plaats van één bewijst wie je bent. Het eerste is je wachtwoord, het tweede kan je telefoon zijn, een authenticatie-app, een vingerafdruk of een beveiligingssleutel.

Dit betekent dat als je wachtwoord wordt gestolen, de aanvaller geen toegang tot je account krijgt zonder de tweede vorm van authenticatie. Elke vorm van 2FA is beter dan geen 2FA. Zoek naar e-mailproviders die dit aanbieden en schakel het overal in waar je kunt, te beginnen met je e-mail.

Wees voorzichtig met bijlagen

Mensen zijn nieuwsgierig, en aanvallers maken daar misbruik van. De beste manier om jezelf te beschermen is door geen e-mailbijlagen te openen die je niet verwachtte. Dit geldt zelfs als ze van iemand komen die je kent. Dat komt doordat accounts vaak worden gekaapt en afzenders worden vervalst.

Behandel pdf’s, Word- en Excel-documenten, ZIP- en RAR-archieven, HTML-bestanden, ISO-schijfkopieën en vooral .exe-bestanden altijd met extra voorzichtigheid. Bij twijfel kun je het beste via een apart kanaal bij de afzender bevestigen voordat je iets opent.

Houd je team getraind

Uiteindelijk zijn mensen de laatste verdedigingslinie als het om aanvallen gaat. Filters, authenticatie en het scannen van bijlagen houden veel tegen, maar alle berichten die erdoorheen komen zijn ontworpen om een persoon te misleiden.

Hier kan training een enorm verschil maken. Cruciaal is dat bedrijven trainen op de aanvallen van vandaag, niet die van gisteren. Dat betekent door AI geschreven lokmiddelen zonder typefouten, deepfake-stem en -video, en oplichting via sms, QR-codes en MFA-prompts, niet alleen via e-mail.