Spam via legitieme Google servers.

[Vorkie]

Ik word de laatste tijd helemaal gek van een aanhoudende golf Nederlandstalige spam (denk aan valse AH cadeaukaarten, CJIB boetes, Thuisbatterij oplichters en neppe Coolblue winacties). Het frustrerende? Het komt vrijwel allemaal direct vanaf legitieme Google servers, specifiek uit hun IPv6-blokken (zoals 2607:f8b0:4864:20::/64)

ChatGPT / Gemini komt met reden dat het gehackte Workspace accounts zijn: Ze sturen namelijk bulk-spam via gehackte educatieve en overheidsaccounts (zoals .edu.pk, .gov.br en .edu.pe). Omdat de mail dan netjes via Google's uitgaande servers gaat, passeren ze met vlag en wimpel de SPF- en DKIM-controles (en grey-listing)

Google Drive/Forms misbruik: Een ander groot deel komt binnen via maestro.bounces.google.com. Ze misbruiken de deelfuncties van Google Documenten, waardoor het systeem dit als een veilige notificatie markeert.

Standaard trucs werken hierdoor niet. Geo-IP blokkades op de firewall hebben geen zin (de server staat in de VS) en het complete IPv6-blok van Google droppen is geen optie. Greylisting is uiteraard ook nutteloos, aangezien de MTAs van Google de mail na een tijdelijke weigering vrolijk opnieuw en succesvol afleveren.

Ik heb al een transport rule gemaakt met voorwaarde SenderDomainIs voor exotische landcodes (pk, pe, br, mx, ru, vn, etc.) welke in een andere spam mailbox terecht komt, maar met domeinen zoals .com, gaat dat lastig worden...

Ervaren jullie deze specifieke, via Google gerouteerde, spam de laatste tijd ook zo extreem?

Ik ben erg benieuwd of jullie nog andere, slimmere manieren hebben gevonden om dit direct op af te vangen?

Zie hier hoe dat gaat;