ทำไมแบบฟอร์มติดต่อจึงได้รับสแปม – และทำไมจึงเป็นมากกว่าเรื่องน่ารำคาญ

แทบทุกเว็บไซต์ที่มีแบบฟอร์มติดต่อคุ้นเคยกับเหตุการณ์นี้: หลังเปิดเว็บไซต์ไม่กี่วัน ก็เริ่มมีข้อความที่ไม่มีใครเขียนจริงเข้ามา ทั้งข้อเสนอบริการ SEO ลิงก์ร้านค้าที่น่าสงสัย และข้อความในภาษาที่เว็บไซต์ไม่เคยใช้ คนส่วนใหญ่เพียงลบทิ้ง ซึ่งเป็นการประเมินปัญหาต่ำเกินไป สแปมผ่านแบบฟอร์มไม่ได้เป็นแค่ข้อความรบกวนในกล่องจดหมาย แต่อาจเปลี่ยนเว็บไซต์ให้เป็นเครื่องมือที่ย้อนกลับมาทำร้ายเจ้าของเอง

ใครเป็นผู้ส่งสแปมผ่านแบบฟอร์ม

• บอตรวบรวมข้อมูล โปรแกรมอัตโนมัติสแกนเว็บเพื่อหาสิ่งที่ดูเหมือนแบบฟอร์ม ไม่ว่าจะเป็นช่องกรอกข้อมูล พื้นที่ข้อความ หรือปุ่มส่ง แล้วกรอกข้อมูลลงไป บอตพบเว็บไซต์ได้เพียงเพราะมีแบบฟอร์มอยู่
• สคริปต์ราคาถูกและเครื่องมือสำเร็จรูป ซอฟต์แวร์สำหรับส่งแบบฟอร์มจำนวนมากหาได้ง่าย คนเพียงคนเดียวส่งข้อความได้หลายพันฉบับต่อวันโดยไม่ต้องเขียนโค้ดแม้แต่บรรทัดเดียว
• สแปมลิงก์ SEO ข้อความจำนวนมากมีไว้เพียงเพื่อวางลิงก์ไว้ที่ใดสักแห่ง เช่น ในกล่องจดหมาย พื้นที่ความคิดเห็น หรือหน้าที่เผยแพร่ข้อความที่ส่งมา โดยหวังให้ลิงก์ถูกจัดทำดัชนีที่ใดที่หนึ่งหรือมีคนคลิก
• ฟิชชิงและมัลแวร์ ข้อความบางฉบับปลอมเป็นใบแจ้งหนี้ ข้อร้องเรียน หนังสือแจ้งลิขสิทธิ์ หรือคำเตือนว่า “เว็บไซต์ของคุณมีปัญหา” พร้อมลิงก์ไปยังหน้าเข้าสู่ระบบปลอมหรือไฟล์ เนื่องจากส่งผ่านแบบฟอร์มของเว็บไซต์เอง จึงมักดูน่าเชื่อถือกว่าอีเมลทั่วไป

เมื่อแบบฟอร์มเป็นผู้ส่งสแปมเสียเอง

แบบฟอร์มจำนวนมากส่งข้อความยืนยันอัตโนมัติไปยังที่อยู่อีเมลที่ผู้เยี่ยมชมกรอก เช่น “ขอบคุณสำหรับข้อความ นี่คือสำเนาข้อความที่คุณเขียน” สำหรับผู้เยี่ยมชมจริง นี่เป็นบริการที่เป็นมิตร แต่สำหรับผู้ส่งสแปม นี่คือโอกาส บอตกรอกที่อยู่อีเมลของผู้อื่นและใส่โฆษณาหรือลิงก์ฟิชชิงในข้อความ จากนั้นเซิร์ฟเวอร์ก็ส่งข้อความนั้นในนามโดเมนของเว็บไซต์ไปยังคนแปลกหน้าที่ไม่เคยเข้าเว็บไซต์เลย

ผู้ให้บริการอีเมลประเมินอีเมลขาเข้าส่วนหนึ่งจากชื่อเสียงของโดเมนและเซิร์ฟเวอร์ผู้ส่ง ทั้งข้อร้องเรียนเรื่องสแปม การส่งถึงกับดักสแปม และปริมาณส่งที่พุ่งขึ้นกะทันหันล้วนส่งผลเสีย จุดที่น่าหนักใจคือ SPF, DKIM และ DMARC ไม่ช่วยในกรณีนี้ กลไกเหล่านี้ยืนยันว่าอีเมลมาจากโดเมนนั้นจริง ซึ่งในกรณีนี้ก็เป็นเช่นนั้น การยืนยันตัวตนพิสูจน์ที่มา ไม่ได้พิสูจน์ว่าผู้รับต้องการเนื้อหา เมื่อชื่อเสียงลดลง อีเมลธุรกิจตามปกติก็ได้รับผลกระทบด้วย ใบเสนอราคา ใบแจ้งหนี้ และคำตอบถึงลูกค้าเริ่มเข้าถังสแปม และอาจใช้เวลานานกว่าจะฟื้นตัว

ความผิดพลาดที่เกี่ยวข้องกันสร้างความเสียหายได้แม้ไม่มีสแปม การตั้งค่าแบบฟอร์มบางแบบส่งอีเมลแจ้งเตือนโดยใช้ที่อยู่ของผู้เยี่ยมชมเป็นผู้ส่ง (“From”) เซิร์ฟเวอร์ไม่ได้รับอนุญาตให้ส่งอีเมลแทนโดเมนของผู้เยี่ยมชม จึงทำให้ SPF และ DKIM ไม่สอดคล้องกับที่อยู่ From หากโดเมนนั้นใช้นโยบาย DMARC ที่เข้มงวด ข้อความจะถูกปฏิเสธหรือจัดเป็นสแปม รวมถึงข้อความสอบถามจริงด้วย วิธีที่เหมาะสมกว่าคือส่งจากที่อยู่ในโดเมนของเว็บไซต์เอง และใส่ที่อยู่ของผู้เยี่ยมชมใน Reply-To

และความเสียหายในชีวิตประจำวัน

• เสียเวลา ต้องมีคนอ่าน คัดแยก และลบข้อความ เวลาไม่กี่นาทีต่อวันสะสมเป็นวันทำงานเต็ม ๆ ได้ตลอดทั้งปี
• ข้อความสอบถามจริงสูญหาย เมื่อกล่องจดหมายส่วนใหญ่เป็นขยะ คนจึงอ่านผ่าน ๆ หรือตั้งตัวกรองที่เข้มงวด คำขอใบเสนอราคาจริงเพียงฉบับเดียวอาจถูกลบไปพร้อมข้อความอื่น หรือได้รับคำตอบช้าไปหนึ่งสัปดาห์
• ฟิชชิงเข้าถึงทีม ลิงก์ที่ส่งผ่านแบบฟอร์มติดต่อของเว็บไซต์เองมีโอกาสถูกคลิกมากกว่าลิงก์ในอีเมลสุ่ม การกรอกรหัสผ่านเพียงครั้งเดียวบนหน้าเข้าสู่ระบบปลอมอาจสร้างความเสียหายมากกว่าสแปมทั้งหมดรวมกัน
• ข้อมูลปนเปื้อน หากข้อมูลที่ส่งเข้าระบบ CRM รายชื่อจดหมายข่าว หรือระบบทิกเก็ต รายการปลอมจะบิดเบือนข้อมูลและอาจกระตุ้นให้ส่งอีเมลอัตโนมัติต่อไปอีก

“มีการป้องกัน” หมายถึงอะไรในทางปฏิบัติ

ไม่มีสวิตช์เดียวที่แก้ได้ทั้งหมด แบบฟอร์มได้รับการป้องกันที่ดีเมื่อมีหลายชั้นที่แต่ละชั้นจัดการปัญหาคนละส่วน เพื่อไม่ให้ความล้มเหลวของชั้นหนึ่งเปิดทางทั้งหมด

สามารถดูสถานะของแบบฟอร์มได้โดยไม่ต้องแก้ไขอะไร การตรวจสอบฟรีที่ formexposed.com เข้าชมหน้าสาธารณะแบบเชิงรับโดยไม่ส่งข้อมูลใด ๆ และแสดงสำหรับแต่ละแบบฟอร์มว่ามี CAPTCHA ช่องดักบอต โทเค็น CSRF และกับดักเวลาหรือไม่ รวมถึงดูว่าตั้งค่าไว้อย่างมีประสิทธิภาพหรือไม่ ตัวสแกนยังตรวจด้าน GDPR และการเข้าถึง โดยรายละเอียดอยู่ในรายงานฉบับเต็ม ผลลัพธ์เป็นหนึ่งในสามระดับ: มีการป้องกัน มีการป้องกันบางส่วน หรือไม่มีการป้องกัน นี่เป็นจุดเริ่มต้นที่ดีในการตัดสินใจว่ายังขาดชั้นใด