SynoPower Club-punkt:<\/strong> Jeg jobbet med support i Synology i \u00e5revis, og den vanligste bekymringen jeg h\u00f8rte om selvhosting var at \u00e9n d\u00e5rlig natt ville ta nettstedet ned. Det gjorde ikke denne gangen. NAS-en fortsatte \u00e5 servere sider, butikken fortsatte \u00e5 ta bestillinger, og det eneste symptomet var ti linjer i skjemaoppf\u00f8ringene. Det som gjorde forskjellen var at alt var p\u00e5 ett sted: skjemaoppf\u00f8ringene, e-postloggen og de bes\u00f8kendes IP-adresser l\u00e5 alle p\u00e5 den samme Synology-boksen, s\u00e5 det tok \u00e9n omgang \u00e5 spore opp e-postbombingen i stedet for tre supportforesp\u00f8rsler til tre forskjellige hostingselskaper.<\/p>\n<\/blockquote>\n\n\n\n E-postbombing trenger ikke \u00e5 bryte seg inn i noe. Angriperen tar offerets adresse og skriver den inn i s\u00e5 mange offentlige skjemaer som mulig: p\u00e5meldinger til nyhetsbrev, kontoregistreringer og kontaktskjemaer som sender en kopi av meldingen tilbake til avsenderen. Hvert nettsted sender deretter en ekte, korrekt signert e-post til offeret. Ingen av disse meldingene er spam i teknisk forstand, s\u00e5 de seiler forbi filtre og hoper seg opp i innboksen.<\/p>\n\n\n\n M\u00e5let er sjelden selve oversv\u00f8mmelsen. Microsoft Threat Intelligence har dokumentert grupper som bruker e-postbombing som et f\u00f8rste skritt, og deretter ringer offeret og later som de er IT-brukerst\u00f8tten som skal fikse spamproblemet. Andre angripere bruker oversv\u00f8mmelsen til \u00e5 skjule et bankvarsel, en kj\u00f8psbekreftelse eller et varsel om passordendring mens de misbruker en stj\u00e5let konto.<\/p>\n\n\n\n Kontaktskjemaer er attraktive fordi mange av dem automatisk svarer til adressen som skrives inn i e-postfeltet. For angriperen er det en gratis, anonym e-postrel\u00e9 med et p\u00e5litelig avsendernavn. For nettstedseieren betyr det at domenet ditt sender e-post til folk som aldri har bedt om det, og noen av dem vil trykke p\u00e5 spam-knappen.<\/p>\n\n\n\n M\u00f8nsteret var tydelig da vi s\u00e5 p\u00e5 bidragene side om side. Mellom kvelden 24. september og neste morgen mottok st\u00f8tteskjemaet v\u00e5rt ti bidrag, med \u00e9n til to timers mellomrom. Det langsomme tempoet er bevisst: det holder seg under de fleste hastighetsgrenser og ser ut som vanlig trafikk.<\/p>\n\n\n\n Ingen av disse personene hadde noen gang bes\u00f8kt SynoPower Club. Bekreftelses-e-posten v\u00e5r, med et emne som SynoPower #1234: Produktforesp\u00f8rsel, gikk til hver av dem. Hvis du mottok en av disse meldingene og aldri kontaktet oss, var du et m\u00e5l for e-postbombing: adressen din ble oppgitt av noen andre. Ingen konto ble opprettet for deg, og ingenting ble belastet. V\u00e5r guide om hvordan finne ut om en e-post virkelig er fra SynoPower Club<\/a> viser alle adressene vi sender fra.<\/p>\n\n\n\n Skjemaet v\u00e5rt hadde allerede to forsvar mot spam aktivert, men e-postbombingen gikk rett gjennom dem: Cloudflare Turnstile og et skjult honeypot-felt. Begge gjorde jobben sin, og ingen av dem var bygget for dette.<\/p>\n\n\n\n En honeypot fanger opp skript som fyller ut alle felt p\u00e5 siden, inkludert ett som er skjult for mennesker. Disse innsendingene kom fra en ekte nettleser som bare fylte ut de synlige feltene, s\u00e5 fellen forble tom. Turnstile sjekker om den bes\u00f8kende oppf\u00f8rer seg som en ekte nettleser og person. Hver av de ti oppf\u00f8ringene hadde et gyldig Turnstile-token, som forteller oss at avsenderen brukte en ekte nettleser i et menneskelig tempo, ikke et grovt skript.<\/p>\n\n\n\n Det er den \u00e6rlige grensen for bot-sjekker mot e-postbombing. De gj\u00f8r masseautomatisert misbruk dyrt, men en t\u00e5lmodig avsender som sender inn ett skjema i timen gjennom en vanlig nettleser ser akkurat ut som en kunde. For \u00e5 stoppe det trenger man et signal om hvor foresp\u00f8rselen kommer fra, ikke bare hvordan den oppf\u00f8rer seg.<\/p>\n\n\n\n Fordi hele stakken kj\u00f8rer p\u00e5 ett Synology-system, forlot unders\u00f8kelsen aldri NAS-en. Dette er de fire kontrollene vi kj\u00f8rte, i rekkef\u00f8lge, og de fungerer for alle WordPress-nettsteder som hostes i Container Manager eller Web Station.<\/p>\n\n\n \u00c5pne oppf\u00f8ringslisten i skjema-pluginen din og sorter etter dato. Se etter tilfeldige navn eller meldinger, gjentatte emner og et jevnt intervall mellom innsendinger, og noter deretter IP-adressen som er lagret med hvert oppf\u00f8ring.<\/p>\n<\/div>\n<\/div>\n \u00c5pne e-postloggen til SMTP-pluginen din, eller leveringsloggen i Synology MailPlus-serveren, og s\u00f8k etter oppf\u00f8ringsnumrene. Dette viser om nettstedet ditt faktisk sendte en bekreftelse til hver adresse og om den ble levert.<\/p>\n<\/div>\n<\/div>\n Last ned Tor-prosjektets masseutgangsliste og s\u00f8k i den etter hver IP-adresse fra oppf\u00f8ringene. I v\u00e5rt tilfelle var alle ti adressene Tor-utgangsnoder, mens ingen av de 199 ekte oppf\u00f8ringene siden 2024 kom fra en adresse p\u00e5 den listen.<\/p>\n<\/div>\n<\/div>\n S\u00f8rg for at IP-adressene i loggene dine tilh\u00f8rer bes\u00f8kende og ikke Cloudflare eller din reverse proxy. Hvis hver oppf\u00f8ring viser de samme adressene, m\u00e5 du gjenopprette den opprinnelige bes\u00f8kende-IP-adressen f\u00f8r du trekker noen konklusjoner.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n L\u00f8sningen p\u00e5 e-postbombingen m\u00e5tte oppfylle to betingelser: stoppe denne avsenderen fullstendig, og ikke skape problemer for kundene som bruker skjemaet til \u00e5 sp\u00f8rre om lisenser hver uke. Vi bestemte oss for \u00e9n m\u00e5lrettet endring.<\/p>\n\n\n\n Skjemainnsendinger som kommer inn via Tor-nettverket blir n\u00e5 avvist p\u00e5 alle skjemaer p\u00e5 nettstedet. Cloudflare markerer Tor-trafikk med den spesielle landskoden T1, og vi sjekker ogs\u00e5 den bes\u00f8kendes IP-adresse mot Tor-prosjektets avslutningsliste, som oppdateres daglig, slik at regelen fortsatt gjelder hvis en foresp\u00f8rsel noen gang n\u00e5r NAS-en uten \u00e5 g\u00e5 gjennom Cloudflare. Alle som blir avvist, ser en kort melding med v\u00e5r supportadresse, slik at en ekte kunde som foretrekker Tor fortsatt kan n\u00e5 oss via e-post.<\/p>\n\n\n\n Nettlesings-, betalings- og kontosidene forblir uendret. Endringen gjelder bare i det \u00f8yeblikket et skjema sendes inn, som er n\u00f8yaktig der misbruket skjedde.<\/p>\n\n\n\n Det sterkeste forsvaret mot e-postbombing gjennom et skjema er \u00e5 slutte \u00e5 sende noe til adressen som er skrevet inn i det. Hvis skjemaet bare varsler deg, oppn\u00e5r en angriper ingenting ved \u00e5 oppgi en fremmeds adresse. Vi vurderte det alternativet alvorlig.<\/p>\n\n\n\n Vi valgte \u00e5 beholde bekreftelsen. Mange av kundene v\u00e5re skriver inn fordi en lisensn\u00f8kkel ikke ble aktivert eller en bestillings-e-post havnet i s\u00f8ppelposten, og et umiddelbart svar som sier at vi har mottatt meldingen, med et saksnummer, reduserer stresset deres betraktelig. \u00c5 fjerne den ville straffe alle ekte kunder og dermed forstyrre \u00e9n avsender.<\/p>\n\n\n\n Avveiningen er imidlertid klar. \u00c5 blokkere Tor stenger ruten denne avsenderen brukte, men en m\u00e5lrettet angriper kan bytte til vanlige proxyer. Hvis s\u00f8ppelpost returnerer fra adresser som ikke er fra Tor, er neste trinn \u00e5 gj\u00f8re bekreftelsen valgfri eller sl\u00e5 den av, og den avgj\u00f8relsen h\u00f8rer hjemme p\u00e5 sjekklisten din f\u00f8r det skjer, ikke under neste hendelse.<\/p>\n\n\n\n Trinn 4 av unders\u00f8kelsen fortjener sin egen seksjon, fordi det er den vanligste fellen n\u00e5r et selvhostet nettsted h\u00e5ndterer email bombing eller annet misbruk. En foresp\u00f8rsel til SynoPower Club g\u00e5r gjennom Cloudflare, deretter den omvendte proxyen i Synology DSM, f\u00f8r den n\u00e5r WordPress i containeren sin. Uten ekstra konfigurasjon ser WordPress adressen til det siste hoppet, slik at hver skjemaoppf\u00f8ring, kommentar og bestilling registreres med en Cloudflare- eller proxy-IP.<\/p>\n\n\n\n Cloudflare sender den opprinnelige adressen i CF-Connecting-IP-headeren, og Apache kan bare f\u00e5 beskjed om \u00e5 stole p\u00e5 den headeren n\u00e5r foresp\u00f8rselen kommer fra Cloudflare eller din egen proxy. Vi hadde fikset dette bare noen dager tidligere for svindelscreening p\u00e5 bestillinger, og det l\u00f8nte seg umiddelbart: skjemaoppf\u00f8ringene viste de sanne Tor-utgangsadressene, noe som gjorde m\u00f8nsteret synlig i l\u00f8pet av minutter.<\/p>\n\n\n\n Hvis du har en Synology NAS bak Cloudflare, b\u00f8r du sjekke dette f\u00f8r du trenger det. Send inn en testoppf\u00f8ring fra telefonen din p\u00e5 mobildata og bekreft at den lagrede IP-adressen samsvarer med den telefonen din rapporterer.<\/p>\n\n\n\n En butikk som selger Synology-lisenser burde kunne kj\u00f8re p\u00e5 Synology, og v\u00e5r gj\u00f8r alt. Virtual Machine Manager<\/a> er vert for Virtual DSM-instansen som inneholder nettstedet, Container Manager kj\u00f8rer WordPress og databasen, og Synology MailPlus<\/a> sender alle ordrebekreftelser, lisensleveringer og skjemasvar.<\/p>\n\n\n\nHva e-postbombing er og hvorfor kontaktskjemaer er m\u00e5l<\/h2>\n\n\n\n
Hvordan e-postbombing dukket opp i v\u00e5r Synology-hostede butikk<\/h2>\n\n\n\n
\n
![\"E-postbombing](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Hvorfor turnstile og en honningkrukke ikke stoppet det<\/h2>\n\n\n\n
Sporing av e-postbombing p\u00e5 en Synology NAS i 4 trinn<\/h2>\n\n\n\n
Les skjemaoppf\u00f8ringene<\/h3>\n
Sjekk hvem som mottok posten<\/h3>\n
Sammenlign IP-adresser med Tor-listen<\/h3>\n
Bekreft at IP-adressene er ekte bes\u00f8kende<\/h3>\n
![\"WordPress-e-postlogg](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Hva vi endret etter etterforskningen<\/h2>\n\n\n\n
B\u00f8r du beholde autosvaret etter e-postbombing?<\/h2>\n\n\n\n
F\u00e5 den virkelige bes\u00f8kendes IP-adresse bak Cloudflare og Synology Reverse Proxy<\/h2>\n\n\n\n
Hvorfor vi kj\u00f8rer SynoPower Club p\u00e5 Synology<\/h2>\n\n\n\n
![\"WordPress-](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")