Также были отправлены письма-напоминания об активации, что удвоило их количество; в общей сложности за очень короткое время было отправлено около 1000 писем.
Мне порекомендовали включить настройку normalize emails (нормализация адресов электронной почты). По умолчанию она включена и никогда не менялась. Журнал действий администратора это подтверждает.
Должна ли эта настройка была предотвратить такое злоупотребление?
Чтобы убедиться, что настройка normalize emails работает корректно, я попытался зарегистрироваться вручную, используя псевдоним существующего адреса электронной почты, и создание аккаунта было заблокировано, так как адрес был правильно распознан как уже используемый.
Я также пробовал регистрироваться с несуществующим адресом — как с псевдонимом, так и без него (использовал оба варианта), не активируя этот новый аккаунт, а затем снова попытался зарегистрироваться с тем же адресом + псевдонимом, чтобы убедиться, что нет уязвимости, если существующий адрес принадлежит ожидающему подтверждения аккаунту. В этом случае настройка также работала.
Я озадачен, поскольку кто-то успешно выполнил эти спамные регистрации с использованием псевдонимов электронной почты, по-видимому, обойдя настройку normalize emails.
Я заметил эту спам-проблему с теми же адресами электронной почты на двух своих форумах Discourse (в один и тот же день), на обоих из которых настройка normalize emails всегда была включена и никогда не отключалась.
Я полагаю, что это вопрос времени: те спам-письма были созданы до того, как соответствующая настройка стала включена по умолчанию и ваш форум был обновлён.
Вы должны иметь возможность просто массово удалить оставшиеся спам-аккаунты.
Спасибо большое за эту информацию. Было бы здорово, если бы сведения об изменении настройки из-за обновления программного обеспечения где-то указывались локально (имею в виду на нашем собственном форуме), поскольку они не отображаются в логах действий сотрудников — что понятно, так как это не действие сотрудника. Или, возможно, это где-то упоминалось, и я просто пропустил(а).
В любом случае, главное здесь в том, что мои опасения развеялись, и сегодня я смогу спокойно уснуть
