Ich wurde von Spammern heimgesucht. Nicht nur als Empfänger ihrer Werbebotschaften, darüber würde ich doch nicht bloggen, sondern als Kurier sozusagen. Ein Problem, dass wohl schon länger bekannt ist, aber an mir vorbei gegangen ist. Bis ich eines Tages 2 Nachrichten über das Kontaktformular bekam, die eindeutig als Spam bezeichnet werden konnten, was mich immer noch nicht verwunderte. Allerdings fand ich in meinem „Catch-All“-Postfach an die 2500 „Mail Delivery Failure“-Mails. Kurz darauf erhielt ich folgende Mail von meinem Provider:

Hallo Herr Schmidt,

aktuell wird Ihr Kontaktformular oder andere mailfähige Scripte unter oben genannter Domain missbraucht um massiv Spam zu versenden. Bitte stellen Sie die Sicherheit der Scripte sicher indem Sie einen RefererCheck einbauen sowie Gültigkeit der eingegebenen Mailadressen prüfen. Bei vielen Scripten ist es möglich mehrere Adressen per Umbruch oder per BCC einzugeben und diese bis an die mail-Funktion von PHP durchzureichen.

Bitte beheben Sie den Missstand da wir uns sonst gezwungen sehen die Domains temporär zu deaktivieren.

Das betroffe Script kontakt.php im FTP-Stamm wurde per chmod 700 deaktiviert.

Mit freundlichen Grüßen

Bei 2500 Mails, die nicht zugestellt werden konnten, möchte ich mir fast nicht vorstellen, wieviele Mail über meine Domain herausgegangen sind. Tausende, wenn ich Glück habe.

Ich habe den Entwickler des Kontaktformulars, Frank Hollwitz, kontaktiert, um zu erfahren, ob die aktuelle Version 2.0.2 (ich habe Version 1.0 benutzt – ich schäme mich), die ich sofort installiert hatte, dagegen abgesichert sei. Binnen 5 Stunden hatte er die entsprechenden Änderungen in die Version 2.0.3 eingebaut und diese zum Download bereit gestellt. Respekt!

Bitte überarbeitet eure Kontaktformulare, Hinweise dazu gibt es z. B. bei Dr. Web und von der ContentSchmiede. Das WordPress-Plugin wp-contentform soll ab Version 1.3 spamsicher sein.