Sto cercando di rintracciare un’enorme ondata di account spam sul nostro forum Discourse. Ci sono un gran numero (centinaia!) di account creati di recente che non sono mai stati “Visti” e non sono ancora “Attivati”. Come è possibile? Utilizzano qualche API per creare gli account? Oppure creano l’account e poi non effettuano mai l’accesso? Sembra un segnale molto forte che si tratti di account spam, ma non so cosa significhi esattamente o se posso usarlo come criterio per eliminarli in massa.
Esiste un’interfaccia utente per trovare e rimuovere questi account non visti e/o non attivati? Forse è qualcosa che potrebbe/dovrebbe accadere automaticamente dopo un lungo periodo?
Sembra che ci sia un modo: credo che venga eseguito automaticamente dopo un certo numero di giorni per gli account non attivati, un intervallo che puoi regolare su più o meno giorni:
Se si tratta di un’ondata recente massiccia, immaginerei un bot di qualche tipo… gran parte di Internet è ormai sottoposta a bombardamenti regolari da parte di bot… questi account resteranno inutilizzabili finché non verranno attivati, quindi non capisco perché qualcuno dovrebbe crearli e poi abbandonarli.
Qualcuno ha creato un account, non ha mai verificato l’email e quindi non può effettuare l’accesso. Senza attivare un account, non ci sarà mai un record di visualizzazione.
Discourse è un’enorme API, quindi qualcuno può accedere direttamente agli stessi endpoint usati dall’interfaccia per creare un account. È certamente possibile automatizzare la cosa, anche se chi lo fa dovrebbe aggirare i limiti di frequenza per creare molti account in fretta.
Da admin/users/list/new c’è un filtro “non attivati”
Da qui puoi fare clic sull’icona sopra l’avatar nell’intestazione della tabella per entrare nella modalità di selezione multipla. Se necessario, puoi eliminare gli account in questo modo.
Discourse elimina automaticamente questi account dopo 14 giorni per impostazione predefinita, purché non abbiano post; l’impostazione del sito rilevante è purge_unactivated_users_grace_period_days.
Se selezioni uno degli utenti e vai alla loro pagina amministrativa, puoi anche usare il pulsante “Ricerca IP” per vedere gli account associati alla stessa IP. Se più account sono associati, ti verrà offerta l’opzione di eliminarli:
Non dovresti dover fare nulla manualmente e puoi contare sull’eliminazione automatica… ma potrebbe valere la pena tenere d’occhio la situazione se ci sono molti account o se alcuni vengono attivati per creare spam.
Ci sono modelli riconoscibili? Stessa località? Stessa IP? Stesso dominio email? Potresti valutare di aggiungere ulteriori protezioni se noti un qualche indizio.
Grazie Kris! Purtroppo è stato molto utile anche per me. Anche noi abbiamo appena avuto un’ondata di nuovi utenti che erano chiaramente spam. Dal 16/10, abbiamo registrato 268 utenti che si sono iscritti tutti dallo stesso IP con nomi utente che erano b e una serie di numeri casuali (b123456789).
Abbiamo avuto la stessa esperienza… 266 account di recente da 89.124.71.104
Quando ho provato a bloccarne uno, la GUI mi ha permesso di selezionare manualmente altri 10 utenti da sospendere, ma non tutti. Sarebbe utile avere un pulsante “tutti”, invece di doverne selezionare 10 alla volta e ripetere l’operazione altre 25 volte.
A meno che non esista già un metodo migliore per la sospensione di massa?
Potrebbero queste onde gentili provenire da un qualcosa di simile alle app OAuth [1] come quello che è appena successo su Mastodon? I sintomi sono molto simili.
disclaimer: ovviamente non so come funzionino le app OAuth, per niente ↩︎
Esattamente ciò che ha spinto a porre questa domanda, sì! Qui ne sono presenti almeno 193. Abbiamo avuto anche un’altra ondata di alcune decine di altri account bot che hanno raggiunto il livello TL1 e hanno poi inviato spam con 20 messaggi privati ciascuno — è cercando altri di quegli account che ho notato gli account b123456789.
Aggiornamento: anche dopo aver bloccato quell’IP, vedo diversi nuovi utenti che si sono registrati con lo stesso schema di nomi, ma da un IP diverso. È ora di valutare una soluzione captcha
Ecco l’altra categoria di account spam: durante la notte scorsa sono stati registrati cento nuovi account, tutti con esattamente lo stesso schema nome utente/letture:
Ti consiglio di tenere d’occhio quegli account. Siamo stati colpiti da diverse ondate di questo tipo negli ultimi giorni. Stesso schema nei nomi, provenienti da un piccolo numero di indirizzi IP.
Salgono velocemente al livello TL1 [“leggono” 209 post in 11 minuti …] così da poter inviare messaggi privati spam a utenti casuali.
Sì, ogni account otteneva il livello di trust TL1 e poi inviava 20 messaggi privati (il limite giornaliero predefinito) agli autori delle discussioni con messaggi del tipo:
Ho visto la tua discussione su “[titolo dell’argomento]” — [pitch commerciale e link]
Abbiamo inasprito i limiti dei messaggi privati e stiamo cercando di agire in modo più mirato. Sembrano tutti utilizzare molti domini di posta elettronica usa e getta distinti; sto anche valutando il passaggio a una allowlist di host di posta elettronica molto più vincolante (invertendo l’approccio rispetto alla blocklist predefinita).
Hmm, hai abbassato le impostazioni di TL1 in qualche modo?
È possibile popolare «posts letti» in questo modo senza entrare negli argomenti (utilizzando l’API), ma se tl1_requires_topics_entered è impostato sul valore predefinito 5, questi account non dovrebbero essere in grado di raggiungere TL1
