Spam via legitieme Google servers.

[Vorkie]

Ik word de laatste tijd helemaal gek van een aanhoudende golf Nederlandstalige spam (denk aan valse AH cadeaukaarten, CJIB boetes, Thuisbatterij oplichters en neppe Coolblue winacties). Het frustrerende? Het komt vrijwel allemaal direct vanaf legitieme Google servers, specifiek uit hun IPv6-blokken (zoals 2607:f8b0:4864:20::/64)

ChatGPT / Gemini komt met reden dat het gehackte Workspace accounts zijn: Ze sturen namelijk bulk-spam via gehackte educatieve en overheidsaccounts (zoals .edu.pk, .gov.br en .edu.pe). Omdat de mail dan netjes via Google's uitgaande servers gaat, passeren ze met vlag en wimpel de SPF- en DKIM-controles (en grey-listing)

Google Drive/Forms misbruik: Een ander groot deel komt binnen via maestro.bounces.google.com. Ze misbruiken de deelfuncties van Google Documenten, waardoor het systeem dit als een veilige notificatie markeert.

Standaard trucs werken hierdoor niet. Geo-IP blokkades op de firewall hebben geen zin (de server staat in de VS) en het complete IPv6-blok van Google droppen is geen optie. Greylisting is uiteraard ook nutteloos, aangezien de MTAs van Google de mail na een tijdelijke weigering vrolijk opnieuw en succesvol afleveren.

Ik heb al een transport rule gemaakt met voorwaarde SenderDomainIs voor exotische landcodes (pk, pe, br, mx, ru, vn, etc.) welke in een andere spam mailbox terecht komt, maar met domeinen zoals .com, gaat dat lastig worden...

Ervaren jullie deze specifieke, via Google gerouteerde, spam de laatste tijd ook zo extreem?

Ik ben erg benieuwd of jullie nog andere, slimmere manieren hebben gevonden om dit direct op af te vangen?

Zie hier hoe dat gaat;

[AW_Bos]

Ja, hier krijg ik ook bakken met spam. Ik heb een aantal woordfilters ingezet, maar er lijkt niet tegen op te boksen. Zelf bij KPN/XS4ALL, waar ik zelden spam kreeg, krijg ik nu ook dagelijks een dergelijk e-mailtjes.

Ik zit er over na te denken om van Spamassassin over te stappen op Rspamd. Heeft iemand daar ervaring mee? Volgens mij leert deze beter dan Spamassassin.

Ook meld ik ze op Spamcop. Maar volgens mij is dat zinloos.

Wat mij opvalt:

- Soms krijg ik lege e-mails, en blijkbaar hebben ze verborgen informatie (spaties en lege ruimtes in HTML, met als nadeel dat Outlook 365 ze moeilijk kan verwerken.

- Soms e-mails met (niet geladen) afbeeldingen.

Het wordt steeds ernstiger.

[ Voor 42% gewijzigd door AW_Bos op 17-10-2026 17:57 ]

[Barreljan]

Ik heb hier ook heel veel van gehad, veel energie-related emails (batterij, isolatie etc). En in de headers vielen mij dingen op, veel edu domeinen en een 'Message-ID' die begint met "autogen-java".

Dus ik heb 40+ emails in een zip even door de AI-bot getrokken of die nog meer kenmerken ziet en daar was het nodige uit voortgekomen. Aangezien ik een eigen mailserver heb met SpamAssassin, kon ik het als het volgt oplossen. De treshold voor de '[SPAM]' tag bij mij is 2.5:

code:

# Google autogen fingerprint
header __LOCAL_GOOGLE_AUTOGEN Message-ID =~ /^<autogen-java-[^>]+\@google\.com>$/i
header __LOCAL_GOOGLE_GMSTATE exists:X-Gm-Message-State
header __LOCAL_GOOGLE_XRECEIVED exists:X-Received

# Basis fingerprint
meta LOCAL_GOOGLE_SPAM_CAMPAIGN (__LOCAL_GOOGLE_AUTOGEN && __LOCAL_GOOGLE_GMSTATE && __LOCAL_GOOGLE_XRECEIVED && SPF_HELO_NONE)
describe LOCAL_GOOGLE_SPAM_CAMPAIGN Google autogen bulk mail fingerprint
score LOCAL_GOOGLE_SPAM_CAMPAIGN 2.8

# Extra score voor laag contrast
meta LOCAL_GOOGLE_SPAM_CONTRAST (LOCAL_GOOGLE_SPAM_CAMPAIGN && HTML_FONT_LOW_CONTRAST)
describe LOCAL_GOOGLE_SPAM_CONTRAST Google autogen bulk mail with low contrast HTML
score LOCAL_GOOGLE_SPAM_CONTRAST 3.0

En eentje waar ik zeker van was die ik gelijk de nek om draai en als spam markeer:

code:

header   LOCAL_BAD_EDU_PE From =~ /\@[A-Za-z0-9.-]+\.edu\.pe\b/i
describe LOCAL_BAD_EDU_PE Mail from *.edu.pe
score    LOCAL_BAD_EDU_PE 5.0

Hiermee is eigenlijk alles naar de spam folder te krijgen. Hoe je dit in andere hosted oplossing kan filteren weet ik niet. Maar misschien kan je wat met de 'Message-ID' header.

[ Voor 13% gewijzigd door Barreljan op 19-10-2026 10:36 ]