垃圾邮件之王现身中国

赵晓力

打开电脑，接受邮件，哗，我那个单位信箱立刻被垃圾邮件塞满。前天是24封，昨天25份，而正常的邮件两天来不过两封。自从在网上公布过一次这个邮件地址后，这个信箱就成为垃圾广告邮件的目标。如果是一个随便申请的免费信箱，我早就放弃不用了。但这是单位的官方信箱，有时侯它还起着证明身份的作用，不能随便放弃。

垃圾邮件的问题在中国到底有多严重？中国互联网信息中心(CNNIC)2004年1月份发布的调查报告说，用户平均每周收到电子邮件数13.7封，其中垃圾邮件7.9封，占58%1。2003年美国国会在阐述反垃圾邮件法的立法理由时写到，互联网上电子邮件流量中超过一半属于垃圾邮件，而2001年这个数字不过7%。2微软的Hotmail说，垃圾邮件占他们的邮件流量的70%，很多来自中国和日本。3按照著名反垃圾邮件网站SPAMHAUSE(http://www.spamhaus.org)的统计，2004年1月份，中国在十个垃圾邮件大国的排名已上升到第二位，仅次于美国，排在南韩、巴西、台湾、加拿大、阿根廷、俄国、意大利、英国等国家和地区之前。

中国互联网信息中心的数据是通过网下抽样调查得出的，反映的是用户被动接受垃圾邮件情况，SPAMHAUSE的统计的则是发送垃圾邮件的IP地址的情况。互联网上有许多反垃圾邮件的志愿者和公私机构接受举报，从中收集整理一些垃圾邮件源的黑名单(Realtime Blackhole List)。SPAMHAUSE的黑名单SBL(Spamhaus Block List)与众不同，它特别注意跟踪那些臭名昭著的"垃圾虫"的动向，SPAMHAUSE称其为"垃圾邮件团伙"。SPAMHAUSE相信，北美和欧洲用户接受到的90%的垃圾邮件，都可以直接间接追踪到最大的200个垃圾虫头上。如果一个人因为发垃圾邮件已经被接连三个ISP(互联网服务商)中止过服务，那么它就进入SPAMHAUSE的"已知垃圾邮件运营者名单"(ROKSO)中，这些垃圾虫控制下的IP地址，则自动进入SPAMHAUSE的垃圾邮件源黑名单，从这些IP地址发出的邮件，就会被采用SPAMHAUSE黑名单的邮件服务器视为垃圾邮件而加以阻挡。4SPAMHAUSE说，使用它的黑名单的包括一些世界级的骨干网，欧美的一些政府和军事网络，大的免费邮件服务商，各国ISP等等，到2003年11月，大约有两亿用户的信箱处在其保护之下。5

SPAMHAUSE的垃圾虫名单上的一些团伙，最近越来越多地把他们的离岸主机移到了中国。这是中国在垃圾邮件大国的名单上上升比较快的原因之一。比如SPAMHAUSE的垃圾虫名单中排名第一的"垃圾邮件之王"，被称为"互联网上最招人恨的人"Alan Ralsky，近来已经开始在中国租用主机，建立他的离岸运营中心，以逃避针美国境内对他的法律和技术行动。6查阅SPAMHAUSE的记录，从2003年9月22日到2004年2月18日，Alan Ralsky在广东电信(chinanet-gd)控制过27个ip地址，从2003年7月3日到2004年2月15日，在重庆电信(chinanet-cq)控制过32个ip地址，现在，在SPAMHAUSE为垃圾虫提供服务的"十个最坏ISP" 中，广东电信、重庆电信已经分别名列第二和第五位。另外一个福建电信排名第九。7按照SPAMHAUSE的政策，如果广东电信、重庆电信和福建电信在不知情的情况下为这些垃圾虫提供了服务，还属于被动服务提供者，情有可原，如果它们明知客户是垃圾虫还提供服务，甚至为之提供"防弹"服务，那么他们自己也可能进入SPAMHAUSE的黑名单。

当然，这肯定不是Alan Ralsky控制的全部IP地址。据说，和其他垃圾虫或垃圾团伙比起来，Alan Ralsky是一个网络隐身的大师，最擅长的是用假身份申请ISP的服务。肯定有许多中国境内的IP地址是Alan Ralsky和其他垃圾虫控制的，还没有被发现而已。

这些商业垃圾虫的客户大都在他们本国，他们租用中国境内的服务器，当然还是为了向他们本国发送广告。中国成为"垃圾邮件大国"，并不是中国的垃圾虫向世界发送了多少垃圾邮件，败坏中国名声的大部分还是这些美国窜来的垃圾虫。但这种离岸经营手法，却使得中国和其他一些意识薄弱、技术落后、法制不全的发展中国家背上了黑锅。当然，那些贪图小利的ISP也难辞其咎。

Alan Ralsky并不认为自己是垃圾虫，他说，他只是做在线营销广告(online marketing)的正当商人。那么，他的生意有多大呢？据说，他手头的邮件地址超过1亿5千万，每发100万个邮件，他的客户大约有500美元的利润，他收取售出物品总价款的40%作为佣金。Alan Ralsky自己承认，他最多曾经在一天之内发送过7千万份广告邮件。8

Alan Ralsky在美国曾经遇到过麻烦。2000年，Alan Ralsky未经许可向Verizon Online公司的用户发送了几百万封垃圾邮件，用户的报怨和投诉象潮水一样涌向Verizon，Verizon 随即把Alan Ralsky告上法庭。2002年，Alan Ralsky在向Verizon赔了一笔数目不详的款子并保证不再向Verizon Online的用户发垃圾邮件，也不利用后者的网络发垃圾邮件后，双方了结了案子。9

2003年12月，Alan Ralsky停止了自己在美国的业务。这一次也是因为法律上的原因。12月16日，美国总统布什签署了2003控制未经请求的色情和营销材料攻击的法案(Controlling the Assault of Non-Solicited Pornography and Marketing Act of 2003)，简称CAN-SPAM Act of 2003。该法2004年1月1日起生效。

这个法律并没有禁止垃圾邮件，而是试图规范它。"未经请求的商业电子邮件" (unsolicited commercial e-mail messages)只要符合下列条件就是合法的：1，自我标识，比如主题行包含"ADV"字样，表明这是一封广告邮件，但该法没有规定统一的标识方法；2，邮件里包含了如何从发送者的名单里退出(opt-out)的指示，这意味着，发送者可以未经你的事前同意就给你发商业邮件，如果你不同意，你得自己向发送者申明，这不同于参加(opt-in)机制，即发送者没有你的事前同意就不能给你发商业邮件；3.邮件包含了发送者的物理地址。该法禁止使用欺骗性的主题行(诱骗人们去看邮件内容)，禁止伪造邮件的头文件(header)，以躲避追查，因为头文件里包含了邮件发送者的IP地址和邮件的路由信息。

Alan Ralsky仔细研究了这个法律。虽然这个法律没有像他所希望的把"商业广告邮件"完全合法化，但比起一些采取opt-in机制、完全禁止这类未经同意的大宗邮件，或者要求按照某种标准的样式标识邮件的州法律，比如加利福尼亚等州的州法，还是宽松地多。这个联邦法律通过后，那些比这个联邦法律苛刻的州法就被排除适用了。满足这个法律的要求并不是很难，Alan Ralsky决定从2004年1月起重新开展在美国的业务。

反垃圾邮件团体对这个法律非常失望。SPAMHAUSE是一个国际组织，现在把它的物理地址放在伦敦，因为英国从2003年12月11日起完全禁止了垃圾邮件。在SPAMHAUSE看来，所谓垃圾邮件只要符合两个特征就可以了：1，未经同意；2，大宗。仅仅是未经同意的邮件并不是垃圾邮件，比如一个以前从来没给你发过邮件的人发的第一封邮件，大概都没有经过你的同意，但这不是垃圾邮件；第二，仅仅是大宗邮件也不是大宗邮件，因为你订阅的邮件列表同时发送给许多订阅者，但它也并不属于垃圾邮件。所以，真正的反垃圾邮件法律应该采取参加(opt-in)机制，也就是说，只能给同意接受的人发送大宗邮件才是合法的。联邦控制垃圾邮件法反而允许发送未经同意的大宗邮件，只要它提供了如何退出的指示。对于塞满信箱的一封封广告，谁有耐心一个个发邮件去申明退出呢？以前人们总是被专家告诫不要回复垃圾邮件，因为回复只不过验证了你的信箱是存在的，除了坚定垃圾虫继续给你发垃圾邮件的信心外没有其他作用。实际上，联邦反垃圾邮件法只不过是一个促进电子邮件营销法，它只会改变垃圾邮件的内容，比如那些色情和虚假信息也许会减少，但合法的直销商人则会积极地利用这个机会，开拓邮件营销的新纪元。10

2004年1月，美国的联邦反垃圾邮件法生效了，网络上传输的垃圾邮件并没有减少的迹象。根据从事垃圾邮件过滤业务的Brightmail公司的统计，2003年10月、11月、12月，垃圾邮件占全部互联网上邮件的比例分别是52%、56%、58%，2004年1月，这个比例上升到60%，11看不出反垃圾邮件法律对减少垃圾邮件有什么明显的影响。

2004年1月16日，在麻省理工学院召开的2004年"垃圾邮件峰会"上(http://www.spamconference.org/)，也反映出这种对法律解决垃圾邮件问题的深刻失望。参加这次会议的有美国四大ISP──微软的MSN、雅虎、美国在线和Earthlink(这四大巨头处理着美国的大部分email流量)，过去两年间涌现的一大批垃圾邮件过滤软件的代表，学术界人士，以及互联网工程任务组(IETF)，这个志愿者组织负责监督所有公开的互联网标准的通过，今年它派出的代表是开源软件运动大名鼎鼎的领导人Eric Raymond。12

一般用户使用的发送邮件的软件，比如微软的Outlook Express和自由软件Mozilla Mail，都有过滤垃圾邮件的功能，这实际上是对用户已经接受下来的邮件进行过滤，一般都可以按照发件人和主题设置过滤条件，好处是由接收者决定什么是垃圾邮件，是否删除，坏处是这要将所有邮件接收到本地进行，会耗费用户的带宽和精力，拨号用户都体会过浪费大量时间金钱接收垃圾邮件的气恼，一封封阻挡垃圾邮件的无奈。

服务器端的过滤软件，比如著名的Spamassassin(http://www.spamassassin.org/)，是通过对邮件文本进行复杂的贝叶斯分析，对邮件中一些符合垃圾邮件特点的文本特征打分，超过某个标准分就判断为垃圾邮件，这些过滤软件再加上对邮件服务器端进行一些设置，就可以在服务器端对垃圾邮件进行标记、转发、存档甚至删除。这样做的好处是，由邮件服务器对付垃圾邮件，用户不必亲自动手，垃圾邮件在服务器端就被阻挡，不会再收到用户本地计算机的信箱中。但是，这对过滤软件的要求很高，就是误操作的可能性要小，因为用户一般宁愿接收10份垃圾邮件也不愿被服务器误删除一份正常的邮件。另外，道高一尺，魔高一丈，垃圾邮件的发送者经常会针对过滤软件的打分系统，在邮件里随机放一些无意义的词汇，用html语言排版为白底白字，这样用户不会看到，却可以干扰过滤邮件的打分系统。这时候用户或软件开发者就要对过滤软件进行升级，即把白底白字作为一个垃圾邮件的新特征。13然而，人们对过滤软件更大的疑虑是，既然过滤软件可以按照垃圾邮件的特征过滤用户的邮件，难保配置它的人不用它来监控过滤用户的邮件内容。一旦服务器端的过滤被滥用，这对用户的通信自由和通信秘密就会造成很大的威胁。

除了用户端和服务器端的过滤，更高级的对付垃圾邮件的技术还包括雅虎提出的Domain key和Eric Raymond介绍的Sender Policy Framwork(SPF)。 Domain key的原理是给每一个合法的邮件域(domain)颁发一个数字钥匙(key)，这些公司或者邮件域可以用它对它们发出的邮件进行数字签名，带这种签名的邮件就不被视为垃圾邮件，这样反垃圾邮件措施就只针对那些没有Domain Key签名的邮件进行。比起个人签名方案来，Domain Key的好处是只需要在在服务器端部署就可以了，不需要每个人都搞一个数字签名。雅虎的方案据说2004年内就可以出台。不过，雅虎不打算把这个方案提交给IETF。14

按照互联网的公开原则办事的是SPF，SPF正在努力成为一个公开的、人人皆可用的互联网标准。一些参加垃圾邮件峰会的人颇认同这种作法。但SPF并不针对全部垃圾邮件问题，它要解决的是电子邮件的伪造域名问题。垃圾邮件往往伪装成是从一些大的ISP发出的，比如hotmail，aol等等。传统上，简单邮件传输协议(SMTP)在发送邮件的时候，并不检查客户的IP地址和邮件信封上所写的域名是否一致，SPF则要求站点在自己的域名记录中公布本域中负责发送电子邮件的服务器的IP地址，这样别的服务器在接收的时候就可以查对。比如，hotmail.com在自己的域名记录中公布了自己的SPF目录，包括 65.54.247.109, 216.33.241.106, 和207.68.163.86这三个IP地址，如果有人从80.34.201.194联接过来，又声称自己是一份从hotmail.com发来的邮件，那么就可以判断这是一封伪造域名的邮件，或者是垃圾虫发出的，或者是病毒制造的，对这样的邮件，收信服务器可以拒收。

和雅虎的Domain Key一样，SPF的思路实际上是一种白名单的思路。它倡议每个域的主人都把自己域中发送电子邮件的服务器的地址公开出来，这样那些伪造域名的垃圾邮件便根本不会被接收，既不会浪费用户的带宽，也不会ISP的带宽。剩下没有伪造域名的垃圾邮件则留待各种黑名单手段加以清除。152004年2月11日，SPF作为互联网草案发布了，这是成为正式的RFC标准的第一步。SPF的推广者Meng Weng Wong，则希望加快SPF成为正式标准的步伐，以便这个标准能在人们因为垃圾邮件和蠕虫邮件泛滥完全放弃使用email之前得到推广。16到2004年2月22日，已经有超过7500多个域发布他们的SPF，包括AOL.com， Altavista.com，GNU.org ，Oreilly.com， Oxford.ac.uk ，Perl.org ，SAP.com ，Symantec.com ，w3.org等一些知名站点。17

在国内，似乎垃圾邮件的发展已经到了国际水平，但反垃圾邮件的事业才刚刚起步。近期值得记录在案的有：

1.中国互联网协会：2003年8月，中国互联网协会公布了第一批垃圾邮件服务器IP地址名单225个，据说，这是反垃圾邮件协调小组从举报平台收到的约350万封来自国内外的投诉信中整理出来的，同时，"协调小组成员单位和业内广大从业者也向协调小组提供了大量的举报信息"。182004年2月18日，中国互联网协会反垃圾邮件协调小组发起了"关于加快’反垃圾邮件立法’进程的倡议"，并公布了第三批垃圾邮件服务器IP地址名单。19

2.中国反垃圾联盟(CASA)：这是个志愿者组织。2003年9月11日，CASA推出了国内第一个公开的实时邮件黑名单(RBL)服务。2011月11日，他们的黑名单中又增加了中国动态IP地址列表CDL(China Dynamic IP List)，这是针对的是国内那些用ISDN，ADSL发送垃圾邮件的垃圾虫，ISDN和ADSL 一般使用动态IP地址，所以CASA判断使用动态IP地址的邮件服务器发送的邮件，都是垃圾邮件。

3.胡培明。到今天为止，我的信箱里已经连续几天收到过他发来的《为您代发电子邮件广告》："我们拥有主机二十台，各类群发系统及设备，国内外电子邮箱1.78亿个。光纤通信，可日发送电子邮件广告500多万，愿为各地企业，个人架起商桥，为您代发电子邮件广告。 每代发20万电子邮件广告收费200元；100万封电子邮件收费800元；300万封电子邮件收费2200元。电话：010-64851148，email：pmhu@163.com 在线 QQ:183587698。"如果这一切都是真的，如果目前国内这种意识缺乏、技术落后、法制不全的状况不改变，我们完全可以预料，未来的垃圾邮件之王，肯定在中国。

 

1http://www.cnnic.cn/html/Dir/2004/02/03/2114.htm

2http://www.spamlaws.com/federal/108s877.html

3http://www.technologyreview.com/articles/print_version/wo_garfinkel020404.asp

4http://www.spamhaus.org/rokso/index.lasso

5http://www.spamhaus.org/sbl/sbl-faqs.lasso

6http://www.spamhaus.org/rokso/evidence.lasso?rokso_id=ROK1290

7httpp://www.spamhua.org

8国际先驱论坛报,2003年12月30日，http://www.iht.com/articles/123183.html

9http://www.spamhaus.org/rokso/evidence.lasso?rokso_id=ROK2000

10http://www.wired.com/news/politics/0,1283,61928,00.html

11http://www.brightmail.com/spamstats.html

12http://www.businessweek.com/technology/content/jan2004/tc20040113_3442_tc047.htm

13http://www.wired.com/news/infostructure/0,1377,61886,00.html

14http://www.technologyreview.com/articles/print_version/wo_garfinkel020404.asp

15http://spf.pobox.com/problem.html。比起雅虎的Domain Key 方案，这个方案更易用，因为它只是对现有的SMTP协议的一个补充。在域名记录添加一条SPF记录并不难，因为现有域名体系中已经存在MX记录，用来告诉整个互联网本域中哪个IP地址的机器接收邮件，SPF记录实际上是一个反MX记录，用来告诉整个互联网本域中哪个IP地址的机器发送邮件。这个方案也将得到四个主要的开放源码MTU的支持：Sendmail，Qmail，Postfix，Exim，http://spf.pobox.com/downloads.html

16http://www.eweek.com/article2/0,4149,1526251,00.asp

17http://spftools.infinitepenguins.net/register.php

18http://www.isc.org.cn/20020417/ca175035.htm

19http://www.isc.org.cn/20020417/ca225999.htm

20http://anti-spam.org.cn/news/03091101.html

垃圾邮件在欧亚

毛晓秋1

欧洲概况

2004年3月，专门在信息协作、邮件安全和统一通讯等领域提供咨询服务和市场调查的美国Radicati集团，在一份研究欧洲电子邮件市场的报告中表示，未来4年内垃圾邮件将给欧洲的企业造成850亿欧元的损失。Radicati集团预测，未来数年内垃圾邮件和病毒给企业造成的损失将急剧增长。2004年在欧洲收到的46%的电子邮件都是垃圾邮件，到2008年时这一比例将上升至71%。2004年，垃圾邮件将给欧盟造成约92亿欧元的损失。在未来4年内，预计这一损失将以平均每年75%的速度增长，到2008年时总额将达到854亿欧元。另据2001年2月一份报告显示，垃圾邮件将给欧洲互联网使用者带来每年100个亿的损失。减少垃圾邮件已经成为越来越多的企业亟待解决的问题。2

　　

垃圾邮件给企业的计算机系统造成了极大压力，迫使IT管理人员在提高反垃圾邮件技术投资的基础上，还需要在宽带和存储系统方面投入更多的资金。另外，它还影响了邮件使用者的效率。"垃圾邮件实际上从使用者和服务供应商那里拿走了资源，未经授权，亦无补偿"，英国著名通讯公司MCI副总裁、公认的"互联网之父"Vint Cerf说。3

为应对这一与日俱增的烦恼，欧洲各国已经相继出台了立法措施4。仅欧盟目前已颁布的相关立法就有电子隐私令(E-Privacy Directive,2002)，电子商业令（E-Commerce Directive，2000），电信隐私令（Telecommunications Privacy Directive，1997），远程合同令（Distance Contracts Directive，1997），数据保护令（Data Protection Directive，1995）等。5

ECAUCE（The European Coalition Against Unsolicited Commercial Email）为欧盟的反垃圾邮件立法做出了积极贡献。作为美国非营利性的民间非政府组织CAUCE（Coalition Against Unsolicited Commercial Email）在欧洲的分部，ECAUCE倡议，欧盟的反垃圾邮件立法应采取"参与"方式（opt-in approach）来界定"不请自来的商业邮件"（UCE，即Unsolicited Commercial Email）的范围，即规定未经使用者事前同意不得向其发送商业邮件。ECAUCE反对美国于今年1月生效的CAN-SPAM法案所采取的"退出方式（opt-out approach）"，认为该法案对合法的UCE的界定过于宽松，条件之一即只要邮件里包含了如何从发送者的名单里退出(opt-out)的指示即可。这意味着要求使用者亲自动手逐个点击，这无疑将耗费使用者大量的成本，并不可行。6 该组织还对"参与"和"退出"方式的差别做出了个奇特的比喻―――"退出方式"好比给电子邮件使用者一块海绵去擦干商业信息这永不枯竭的洪流（或者也许是擦干眉头的汗水），而"参与方式"则为使用者提供了获取资源的途径并使他得以控制洪水的流量。7 事实表明，自美国CAN-SPAM法案生效后至今，垃圾邮件问题并没有得到明显改观。8

反垃圾邮件法在欧洲得到了更为严格的规定和执行。2002年欧洲议会（The European Parliament）已采纳了欧洲理事会（the Council）的共同立场，要求电子邮件的广告发送者要取得接受方的事前同意。其中"电子邮件"的定义较为广泛，以囊括除电子邮件外的移动电话的文本信息系统（text messaging systems）。对电子邮件的"参与"要求体现在关于电子通讯环节中个人资料处理和隐私保护的新法令的13条1款，该法令在官方刊物上公布后即生效。该法令引导着整个欧洲经济区（the European Economic Area）的相关立法，包括15个欧盟成员国和"欧洲自由贸易联合会"（European Free Trade Association,即EFTA）的成员挪威、冰岛和列支敦士登。欧盟成员奥地利、丹麦、芬兰、德国、希腊和意大利，以及欧洲自由贸易联合会的成员挪威，已经在本国立法中实施了"参与"机制。9 除禁止商务公司发送不请自来的电子邮件外，在互联网上随意摘录个人数据以及通过小型的卫星定位系统查询个人电话信息等等都受到相关立法的禁止，目的是减少互联网上电子商务中的欺诈行为，保护合法商务。

2003年，欧盟更加大了打击垃圾信息的力度。03年底欧盟正式通知其九个成员国，指责它们因前段时间消极对待而导致目前各自在反垃圾信息领域上的失败，敦促它们尽快制定相应法律，采取严厉手段打击互联网上的垃圾信息。欧盟的其他六个国家–奥地利、英国、丹麦、爱尔兰、意大利和西班牙，纷纷就欧盟反垃圾信息法采取了相应的处罚措施，并取得了良好收效。负责企业及信息社会事务的欧盟委员称，"目前对整个欧盟来说，在打击反垃圾信息行动上采取一致举措十分关键，这将有助于加强欧盟国家在电子商务和电子服务领域的消费信心。"10

尽管许多人认为，国际合作和多国条约可以制止全球的垃圾邮件潮，但在欧洲仍存在法律上的障碍。欧洲委员会已经警告8个成员国，包括比利时、法国和德国，将因其没有执行欧盟隐私法令而诉至欧洲法院，该法令广泛将不经使用者许可而发送电子邮件的行为定为犯罪，并对累犯采取高额罚金和和监禁。问题是尽管罚金用于处理欺诈犯，而欺诈分子并不打算支付罚金。另一个障碍是法官和起诉官对垃圾邮件这一新领域并不熟悉。因而，世界最大的电子邮件供应商仍继续耗费高额资金致力于反垃圾邮件，包括开发新的技术救济手段以及法律诉讼，以尽量减少损失。11

亚洲概况

据统计，全球10大垃圾邮件最严重的国家和地区，亚洲占了绝大部分，而中国更是仅次于美国高居第二。12 中国的6800万网民每年收到的垃圾邮件为460亿封，占全球的10.4%。据最新数据显示，中国已成为全球第二大垃圾邮件受害国，垃圾邮件最近还出现了不降反升的局面。邻近的香港、台湾也未能幸免。垃圾邮件的肆意泛滥已成为困扰亚洲网民的顽症。13

　　促使垃圾邮件发送者东移的部分原因是美国和欧洲对不请自来的垃圾邮件的警惕性有所提高。上周，美国4家著名大型互联网提供商，微软的MSN、雅虎、美国在线和Earthlink，利用新实施的联邦"反垃圾邮件法"（CAN-SPAM）对数百家电子邮件推销商提起了民事诉讼。根据该项法律，雇佣垃圾邮件发送者的零售商和制造商也可以受到起诉，但迄今为止这种案件尚未发生。欧盟也已出台禁止垃圾邮件的法律。

但在亚太地区，只有韩国、日本和澳大利亚有反垃圾邮件的立法。尽管美国联邦贸易理事会（Federal Trade Commission）说起诉美国之外的的垃圾邮件发送者的可能性是存在的，但追踪这些人以及垃圾邮件发起人，并确定他们的身份要困难得多。亚太反垃圾商业邮件联合会（APCAUCE，Asia Pacific Coalition Against Unsolicited Commercial Email 14）的创始人之一苏来士（Suresh Ramasubramanian）称，就像大开曼岛和巴哈马群岛成为避税地一样，中国大陆、韩国和台湾正在成为互联网欺诈的中心。15

为了应对垃圾邮件不断激增的危害，亚洲各国业内人士纷纷采取措施。03年8月25日，在APCAUCE（www.apcauce.org）主持下，亚洲最大的反垃圾邮件会议在韩国釜山召开。有来自中国互联网协会（ISC）、韩国、新加坡、日本以及其他国家的业内代表参加。会议针对目前关于email的通讯和网络基础构造进行讨论并试图找出对策。美国和欧洲的一些专业人士也在会上发言。16

04年美国"反垃圾邮件法"的生效也引起了亚太地区各个政府和企业的连锁反应。

　　澳大利亚的相应法律将在四月开始生效，触犯者将面临高达810,000美元的罚款。

　　日本方面的反垃圾邮件法则早已出台，要求网络传销商必须表明身份，显示自己的物理地址及标明他们的邮件信息属主动式广告，否则罚款4,500美元。

　　马来西亚也表现了类似的立场。不过据马来西亚通讯及多媒体委员会表示，他们并非倾向于立法的方法，而是依赖各ISP供应商的教育和行动。

在香港和新加坡，垃圾邮件问题正进入全面评估、商议和立法准备阶段。

　　不过，出于对法律效力的缺乏信心，ISP和软件企业纷纷将目光转向科技方向，寻找能摆脱这个来自虚拟世界威胁的技术。例如，微软将会在其热门免费邮件服务Hotmail中开始试行所谓的发送者身份确认(ID)计划。

但纯技术方法也并非全无瑕疵。微软有关人士认为，没有哪一项技术可以完全解决垃圾邮件的问题。虽然希望发送者身份确认计划能起到阻吓作用，但这并不能阻止垃圾邮件的发送。各国政府也普遍承认，垃圾邮件是个全球性且复杂多面的问题，单靠某一国立法或单纯依靠立法规制本身，作用是非常有限的。尽管如此，许多人仍然支持立法方式，认为这虽然非最终解决办法，但起码有助于阻止其蔓延。17

中国相关的反垃圾邮件立法仍属空白，但日益严重的现实已经引起了政府方面的重视。今年2月4号公安部、教育部在部署上半年互联网垃圾电子邮件专项治理工作时，明确要求电子邮件服务单位应当履行反垃圾电子邮件责任。同年4月，国务院信息化领导小组将召开网络法规条例的立法研讨会，内容将涉及整个信息安全问题，目前综合性的《网络与信息安全条例》已进入国务院的二类法规立法规划。而《加强反垃圾邮件的建议》已被全国政协委员提交全国人大十届二次会议，等待提起审议。新浪高级副总裁严援朝认为，在正式的法律颁布前，反垃圾邮件在实施中可适用现行法律等相关法规，如《广告法》等。18就中国而言，应该如何界定垃圾邮件的范围并加以规制，如何确保立法的可执行性和有效性，这些都需要谙熟中国互联网现状及其问题的业内人士与法律专家的合作，而上述国家反垃圾邮件的积极实践无疑带来了乐观的希望，不过垃圾邮件水涨船高的局面不禁让人反思法律与技术的局限性――反垃圾邮件仍任重道远。

1 北京大学法学院2002级法理学硕士

2 参见：http://it.rising.com.cn/newSite/Channels/info/security/security/200403/25-100714548.htm

3 参见：http://www.euro.cauce.org/en/index.html

4 相关资源可见：http://www.spamlaws.com/eu.html

5 参见：http://www.spamlaws.com/eu.html

6 参见：http://www.euro.cauce.org/en/

7 参见：http://www.euro.cauce.org/en/optinvsoptout.html

8 在近期的全国范围内的民意测验中，81％的回答者认为该联邦立法并没有减少垃圾邮件。参见

http://www.wilsoncountynews.com/default.asp?sourceid=&smenu=19&twindow=&mad=No&sdetail=

4682&wpage=&skeyword=&sidate=&ccat=&restate=&restatus=&reoption=&retype

=&repmin=&repmax=&rebed=&rebath=&sal=

9 参见：http://www.spamhaus.org/news.lasso?article=4

10 参见：http://www.duba.net/c/2003/12/16/102990.shtml

11 参见：http://www.forbes.com/home_europe/newswire/2004/04/06/rtr1324342.html

12 参见：http://www.spamhaus.org/index.lasso之"top 10 spam countries"排名：

The spam list for Asia Pacific region:亚太地区垃圾邮件列表：

China中国34%

Korea 韩国30%

New Zealand新西兰 14%

Japan 日本8%

Hong Kong 香港4%

Taiwan 台湾4%

Australia 澳大利亚2%

India 印度1%

Singapore新加坡 1%

Philippines 菲律宾1%

Malaysia 马来西亚1%

Thailand 泰国0%

Vietnam 越南0%

Pacific Islands太平洋群岛 0%

Indonesia 印度尼西亚0%

13 参见：http://tech.sina.com.cn/i/w/2004-03-17/0943334748.shtml，2004年3月17日

14 另：APCAUCE是国际著名反垃圾邮件组织iCAUCE的一部分，垃圾邮件包括主动提供的商务邮件 (UCE)和主动提供的大容量邮件(UBE)。iCAUSE的任务是为那些主动承担反垃圾邮件的志愿者提供帮助机构。

15 http://it.zaobao.com/pages6/commerce260304b.html 04-3-26

16 http://www.zdnet.com.cn/developer/news/story/0,2000081594,39154403,00.htm 03-7-23

17 http://www.pconline.com.cn/news/hy/0403/335567.html 04-3-17

18 参见http://it.rising.com.cn/newSite/Channels/info/security/security/200403/10-095814353.htm

刘晗1

作为世界上最大的互联网服务提供者与消费者，美国的垃圾邮件的严重状况同样是世界之首（SPAMHAUS的统计数据显示美国位列世界垃圾邮件数量之首2）。美国Network Associates于2003年6月27日公布了有关美国垃圾电子邮件受害情况的调查结果。调查结果显示，49％的美国网民平均每周删除垃圾邮件所花费的时间超过40分钟。14％的网民每周花费3个半小时，也就是说每年将用掉7.5天的时间3。另据《纽约时报》报道，Ferris研究公司的数据显示，今年全美因为垃圾邮件泛滥而消耗的总费用大约为110亿美元，该公司估计全球范围内垃圾邮件消耗的总费用更是高达205亿美元。而Nucleus研究公司的数据更高，该公司估计对于全美每个拥有电子邮箱的办公室员工而言，每年因为垃圾邮件而损失的费用为874美元，这一数字乘以1亿名员工，全美一年因垃圾邮件遭受的损失就高达870亿美元4。由于垃圾邮件铺天盖地、汹涌如潮，至今无法得到有效的遏制，甚至有人戏称， 垃圾邮件"像死亡和税收一样不可避免。"（Junk mail may seem as inevitable as death and taxes）5

事实上，几乎任何一项技术都没有本身的良善与恶劣，关键还是在于人们运用它所要达致的目的以及运用的方式。作为当今最为快捷的信息交流和通讯的工具，互联网上的电子邮件服务也是如此。其实早在互联网创立之初，垃圾邮件就已经出现。最早的垃圾邮件可以追溯至1978年Arpanet网创建之时，它是由当时的数据设备公司DEC(现在已经被CONMPAQ公司收购并且成为惠普的一员)发出的6。其后，随着互联网的不断发展和壮大，伴随者互联网的普及化以及商业化，出于各种各样的利益驱动和其他动机，垃圾邮件的数量以何级数增长，以致发展到今天可以称之为猖獗的状况。

面对这种状况，人们试图通过各种技术手段控制垃圾邮件，各种反垃圾邮件的组织以及网站（比如spam.abuse.net，members.hostedscripts.com/antispam.html等）也如雨后春笋般涌现，现在，几乎所有的互联网技术性的网站都向网民提供各种技术手段用于防止垃圾邮件的侵袭。微软的Outlook Express以及其他各种邮件发送接收软件如Sendmail也大都设置了垃圾邮件过滤系统，同时，服务器端的过滤软件以及更高级的对付垃圾邮件的技术，如雅虎提出的Domain key和Eric Raymond提供Sender Policy Framwork(SPF)等也纷纷出现。此外，经营ISP业务的美国微软、美国雅虎、美国在线三公司，在反垃圾邮件问题上建立了协作体制。三公司与业界其他团体合作，积极推动制订技术标准与行动准则。其中包括禁止利用ISP的邮件服务器发送垃圾邮件、对来自可能会进行非法中继的服务器的邮件进行限制、采取行动强化法律限制等。另外，他们还制定商业广告邮件规范，研究如何通过技术手段将其与垃圾邮件区分开来7。但是，这些技术措施的实际效果似乎并不容乐观，而近来美国开始大规模诉诸法律来解决这类问题则是另外一个重要的反击垃圾邮件的手段，以下大略介绍一下。

首先是在立法方面，从1997年内华达州率先通过禁止垃圾邮件的立法以来，迄今有36个州立法先后通过此类立法8。这些立法中最为严厉的应该是弗吉尼亚州于2003年4月29日颁布的一部反垃圾邮件法案，将通过欺骗性手段发送垃圾邮件的行为视为重罪，最高刑可达5年，并同时处以巨额罚金。9同年,美国加利福尼亚州颁布一项法令，禁止该州企业或个人向任何没有明确要求愿意接收电子邮件的用户发送商业邮件。这使得加州的垃圾邮件禁令成为全美各州已经发布的反垃圾邮件法规当中适用范围最广的一个。上述禁令还禁止加州境内的任何企业向加州以外的任何人发送垃圾邮件，如果有企业违反这一规定，每封垃圾邮件将罚款1000美元，每次最高罚款金额可达100万美元，并且鼓励此种诉讼。102003年12月16日，美国总统布什签署了2003控制未经请求的色情和营销材料攻击的法案(Controlling the Assault of Non-Solicited Pornography and Marketing Act of 2003)，简称CAN-SPAM Act of 2003。该法2004年1月1日起生效11。但是该法案却并未让人们感到乐观，该法案最受诟病的地方是法律告诉邮件提供者只要他们在主题行包含"ADV"字样表明是广告，并且包含如何从发送者的名单里退出(opt-out)的提示，再加上发送者的MAC地址，即可免责。因此有人将这个法案认为是允许垃圾邮件的发送的法案（"You CAN Spam" Act）spamhaus甚至认为与欧洲相对比，这是将垃圾邮件合法化12，在该法案生效后的2004年，美国垃圾邮件的数量非但没有减少，反而比2003年有所增加，2003年12月，垃圾邮件占全部互联网上邮件的比例是58%，2004年1月，比例则上升到60%。13Commtouch新近的统计显示，该法案生效的一月份，仅有1％的垃圾邮件遵从法案的要求，而此后比率虽然有所提高，但也只是3.5％，究其原因，乃是由于有40％的垃圾邮件是在美国以外发出的，也就是说大量的垃圾邮件提供者将服务器迁移至国外（值得一提的是其中最多的是迁移至中国）14。而另据Postini公司的检测，2004年3月份所发出的近12亿封邮件中有77％是垃圾邮件，而2月份这个数据还是76％，该公司预测年底将达到85％左右15。这些数据表明，该法案并没有像所预期的那样立竿见影地起到抑制垃圾邮件的效果，相反，在一定程度上垃圾邮件比原来更为猖獗。一方面是该法案只提供了对垃圾邮件受害者的最低保护，另一方面则是由于"道高一尺，魔高一丈"，垃圾邮件提供者基于商业以及其他利益的考虑必然有意无意地规避此项法案，比如，最鲜明的例子即是将服务器迁移至国外16。同时，由于互联网特殊的虚拟性以及流动性无形性，其间的各种行为不像在物理世界中那么易于进行主体确定乃至追究其责任，多数网络服务提供商（如果不是全部的话）都在一定程度上无视或者忽略该法案对商业广告邮件的各项要求， 即使这些要求的事项很容易就可以做到。因此，出现现在这样的状况似乎是不可避免的。当然，法案的生效和真正发生实际的影响之间可能会有一个时间差，究竟其最终效应如何，在此只能存而不论，暂且悬置，留待时间和实践进行展现和验证。

而在司法方面，也已经有大量的案例出现。最早的一个是2002年美国俄勒冈州的杰森·韩科尔案。据估计此人在1998年共给华盛顿居民发送2万封垃圾邮件的案件，被告人依照2000年7月18日联邦政府通过的《反垃圾邮件法案》被判处罚款10万美元。另外，美国加利福尼亚州的圣克拉拉县法院于2003年10月24日宣布,对一家被控向他人电子邮件信箱发送数百万封垃圾邮件的公司处以200万美元的罚款。这是加州法院就垃圾邮件案作出的首例判决。而这些都是在CAN-SPAM Act of 2003签署生效之前发生的案件。在CAN-SPAM Act of 2003生效之后，由于邮件提供商有了一定的抗辩理由（基于以上的分析）可以免除此种责任，于是案件变得愈发复杂。最近的一个案件是White Buffalo诉得克萨斯大学奥斯丁分校案，3月26日得克萨斯大学奥斯丁分校在这起反垃圾邮件案件中胜诉，White Buffalo公司曾与2003年该用发给50000多人的邮件轰击得克萨斯大学以提高其经营LonghornSingles.com网站提供的延期付款服务效益，得克萨斯大学即援引该大学长期的反揽货政策要求其暂停并且终止这种行为。在遭到White Buffalo公司拒绝之后，得克萨斯大学当即阻断了这些邮件进入其校园网系统。于是该公司以该大学限制了其言论自由为由起诉了它。得克萨斯大学首席律师格雷格·阿波特争辩说得克萨斯大学因其计算机资源有限，有权拒收那些加重其系统负担的垃圾邮件，无论它是非法还是合法的，即使按照2004年生效的CAN-SPAM Act of 2003法案该公司的邮件是合法的，得克萨斯大学也有权拒收，他以此成功地说服了法官，法官最后判定得克萨斯大学和州政府机关有权运用过滤系统阻止垃圾邮件的进入。17而就在近日，第一起直接援引CAN-SPAM Act of 2003的条款为法律根据进行起诉的案件在加利福尼亚发生。网络服务提供商Hypertouch宣称BobVila.com下属的两个网站向其用户发送了不符合CAN-SPAM Act of 2003规定的商业广告邮件18。这个案件或许可以成为反垃圾邮件的一个新的契机和开始，或许正是像Hypertouch这样挺身而出，通过诉诸司法来捍卫自己的权益，才是使法案得以真正实施的途径和方式。因为制定法的实施永远要依靠在具体案件之中的具体的适用，这样才能使法典上看似僵死或者被商人们漠视的条文和规则真正渗透到真实的世界中，而不是政府的强行自上而下的推动和与之相对的抵制与规避。我们看到的是，重要的在于本案是由网络服务提供商提起的，或许这是更多的这样的诉讼的开始，而这些诉讼可能正是反垃圾邮件有力的武器。

1 北京大学法学院2002级本科生

2 http://www.spamhaus.org

3 http://it.rising.com.cn/newSite/Channels/info/corp_news/corp_news/200307/02-103110728.htm

4 转引自http://it.rising.com.cn/newSite/Channels/info/corp_news/corp_news/200307/29-101711067.htm

5 http://www.obviously.com/junkmail/

6 http://www.templetons.com/brad/spam/spam25.html

7 http://it.rising.com.cn/newSite/Channels/info/corp_news/corp_news/200307/16-094410907.htm

8 这些州分别是阿拉斯加，亚利桑那，阿肯色，加利福尼亚，科罗拉多，康涅狄格，特拉华，佛罗里达，爱达荷，伊利诺斯，印地安那，爱荷华，堪萨斯，肯塔基，路易斯安那，缅因，马里兰，密歇根，明尼苏达，密苏里，内华达，新墨西哥，北卡罗莱纳，北达科他州，俄亥俄，俄克拉荷马，俄勒冈，宾夕法尼亚，罗得岛州，南达科塔，田纳西，德克萨斯，犹他，弗吉尼亚，华盛顿，西弗吉尼亚，威斯康星，怀俄明。消息来源http://www.spamlaws.com/state/summary.html。

9 http://www.spamhaus.org/news.lasso?article=8

10 http://www.csdn.net/news/newstopic/13/13813.shtml

11 http://www.spamlaws.com/federal/108s877.html

12 http://www.spamhaus.org/news.lasso?article=12

13 http://www.brightmail.com/spamstats.htm

14 http://www.pcworld.com/news/article/0,aid,115541,00.asp

15 http://gcn.com/vol1_no1/daily-updates/25510-1.html

16 详细的介绍和评论可参见赵晓力《垃圾邮件之王现身中国》，尤其是第三段。

17 http://austin.bizjournals.com/austin/stories/2004/03/22/daily37.html

18 http://www.internetnews.com/xSP/article.php/3322311