SynoPower Club-punt:<\/strong> Ik heb jarenlang in de supportafdeling van Synology gewerkt, en de meest gehoorde zorg over zelfhosting was dat \u00e9\u00e9n slechte nacht de site plat zou leggen. Dat gebeurde hier niet. De NAS bleef pagina's serveren, de webshop bleef bestellingen verwerken, en het enige symptoom waren tien vreemde regels in de formulierinvoer. Wat het verschil maakte, was dat alles op \u00e9\u00e9n plek stond: de formulierinvoer, het maillogboek en de IP-adressen van bezoekers stonden allemaal op dezelfde Synology-server, waardoor het traceren van de e-mailbombardementen in \u00e9\u00e9n keer kon worden gedaan in plaats van drie supporttickets bij drie verschillende hostingbedrijven.<\/p>\n<\/blockquote>\n\n\n\n Voor een e-mailbombardement is het niet nodig om ergens in te breken. De aanvaller neemt het e-mailadres van het slachtoffer en typt dit in op zoveel mogelijk openbare formulieren: aanmeldformulieren voor nieuwsbrieven, accountregistraties en contactformulieren die een kopie van het bericht terugsturen naar de afzender. Elke website stuurt vervolgens een echte, correct ondertekende e-mail naar het slachtoffer. Geen van deze berichten is technisch gezien spam, waardoor ze de filters passeren en zich ophopen in de inbox.<\/p>\n\n\n\n Het doel is zelden de spamcampagne zelf. Microsoft Threat Intelligence heeft groepen gedocumenteerd die e-mailbombardementen als eerste stap gebruiken en vervolgens het slachtoffer bellen en zich voordoen als de IT-helpdesk die het spamprobleem komt oplossen. Andere aanvallers gebruiken de spamcampagne om een bankwaarschuwing, een aankoopbevestiging of een melding van een wachtwoordwijziging te verbergen, terwijl ze misbruik maken van een gestolen account.<\/p>\n\n\n\n Contactformulieren zijn aantrekkelijk omdat veel ervan automatisch antwoorden naar het adres dat in het e-mailveld is ingevoerd. Voor een aanvaller is dat een gratis, anonieme mailserver met een betrouwbare afzendernaam. Voor de website-eigenaar betekent het dat zijn domein e-mails verstuurt naar mensen die daar niet om gevraagd hebben, en sommigen van hen zullen de spam-knop indrukken.<\/p>\n\n\n\n Het patroon werd duidelijk toen we de inzendingen naast elkaar bekeken. Tussen de avond van 24 september en de volgende ochtend ontving ons ondersteuningsformulier tien inzendingen, met tussenpozen van \u00e9\u00e9n tot twee uur. Dat trage tempo is opzettelijk: het blijft onder de meeste snelheidslimieten en lijkt op gewoon internetverkeer.<\/p>\n\n\n\n Geen van deze mensen had ooit SynoPower Club bezocht. Onze bevestigingsmail, met als onderwerp SynoPower #1234: Productaanvraag, werd naar ieder van hen verzonden. Als u een van deze berichten hebt ontvangen en nooit contact met ons hebt opgenomen, bent u het doelwit geweest van een e-mailbombardement: uw e-mailadres is door iemand anders ingevoerd. Er is geen account voor u aangemaakt en er zijn geen kosten in rekening gebracht. Onze handleiding over Hoe kun je zien of een e-mail echt van SynoPower Club afkomstig is?<\/a> Dit is een lijst met alle adressen van waaruit we verzenden.<\/p>\n\n\n\n Ons formulier had al twee beveiligingsmaatregelen tegen spam ingeschakeld, maar de e-mailbombardementen gingen er dwars doorheen: Cloudflare Turnstile en een verborgen honeypot-veld. Beide deden hun werk, maar geen van beide was hiervoor ontworpen.<\/p>\n\n\n\n Een honeypot detecteert scripts die alle velden op de pagina invullen, inclusief velden die voor mensen verborgen zijn. Deze inzendingen kwamen van een echte browser die alleen de zichtbare velden invulde, waardoor de val leeg bleef. Turnstile controleert of de bezoeker zich gedraagt als een echte browser en persoon. Elk van de tien inzendingen bevatte een geldig Turnstile-token, wat ons vertelt dat de afzender een echte browser gebruikte met een normaal menselijk tempo, en geen primitief script.<\/p>\n\n\n\n Dat is de werkelijke grens van botcontroles tegen e-mailbombardementen. Ze maken massaal geautomatiseerd misbruik duur, maar een geduldige afzender die \u00e9\u00e9n formulier per uur via een normale browser verstuurt, wordt precies als een klant gezien. Om dit te stoppen, is een signaal nodig over de herkomst van het verzoek, niet alleen over het gedrag ervan.<\/p>\n\n\n\n Omdat de hele stack op \u00e9\u00e9n Synology-systeem draait, bleef het onderzoek beperkt tot de NAS. Dit zijn de vier controles die we in de aangegeven volgorde hebben uitgevoerd, en ze werken voor elke WordPress-site die wordt gehost in Container Manager of Web Station.<\/p>\n\n\n Open de lijst met inzendingen van je formulierplugin en sorteer op datum. Zoek naar willekeurige namen of berichten, terugkerende onderwerpen en een constant interval tussen inzendingen, en noteer vervolgens het IP-adres dat bij elke inzending is opgeslagen.<\/p>\n<\/div>\n<\/div>\n Open het maillogboek van uw SMTP-plug-in of het afleveringslogboek in Synology MailPlus Server en zoek naar de vermeldingnummers. Dit laat zien of uw site daadwerkelijk een bevestiging naar elk adres heeft verzonden en of deze is afgeleverd.<\/p>\n<\/div>\n<\/div>\n Download de bulk-exitlijst van het Tor Project en zoek daarin naar elk IP-adres uit de lijst. In ons geval waren alle tien adressen Tor-exitnodes, terwijl geen van de 199 echte vermeldingen sinds 2024 afkomstig was van een adres op die lijst.<\/p>\n<\/div>\n<\/div>\n Zorg ervoor dat de IP-adressen in uw logboeken van bezoekers zijn en niet van Cloudflare of uw reverse proxy. Als elke vermelding dezelfde paar adressen laat zien, herstel dan het oorspronkelijke IP-adres van de bezoeker voordat u conclusies trekt.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n De oplossing voor de e-mailbombardementen moest aan twee voorwaarden voldoen: de afzender volledig blokkeren en geen extra problemen veroorzaken voor de klanten die wekelijks het formulier gebruiken om naar licenties te informeren. We hebben gekozen voor \u00e9\u00e9n gerichte aanpassing.<\/p>\n\n\n\n Formulierinzendingen die via het Tor-netwerk binnenkomen, worden nu geweigerd, op elk formulier op de site. Cloudflare markeert Tor-verkeer met de speciale landcode T1, en we controleren ook het IP-adres van de bezoeker aan de hand van de exitlijst van het Tor Project, die dagelijks wordt bijgewerkt. De regel blijft dus van kracht als een verzoek de NAS bereikt zonder via Cloudflare te gaan. Iedereen die wordt geweigerd, ziet een kort bericht met ons supportadres, zodat een legitieme klant die de voorkeur geeft aan Tor ons nog steeds per e-mail kan bereiken.<\/p>\n\n\n\n De pagina's voor browsen, afrekenen en accountbeheer blijven ongewijzigd. De wijziging wordt alleen doorgevoerd op het moment dat een formulier wordt verzonden, en dat is precies waar het misbruik plaatsvond.<\/p>\n\n\n\n De beste verdediging tegen e-mailbombardementen via een formulier is om helemaal geen e-mails meer te versturen naar het adres dat in het formulier is ingevuld. Als het formulier je alleen een melding geeft, heeft een aanvaller er niets aan om een onbekend adres in te voeren. We hebben die optie serieus overwogen.<\/p>\n\n\n\n We hebben ervoor gekozen om de bevestiging te behouden. Veel van onze klanten schrijven ons omdat een licentiesleutel niet is geactiveerd of een orderbevestiging in de spamfolder is beland. Een onmiddellijk antwoord waarin staat dat we het bericht hebben ontvangen, met een ticketnummer, vermindert hun stress aanzienlijk. Het verwijderen ervan zou elke echte klant benadelen en slechts \u00e9\u00e9n afzender ongemak bezorgen.<\/p>\n\n\n\n De afweging is echter duidelijk. Het blokkeren van Tor sluit de route af die deze afzender gebruikte, maar een vastberaden aanvaller zou kunnen overschakelen naar gewone proxy's. Als er ongewenste berichten terugkomen van niet-Tor-adressen, is de volgende stap om de bevestiging optioneel te maken of uit te schakelen. Die beslissing hoort op je checklist te staan v\u00f3\u00f3rdat het gebeurt, niet pas tijdens het volgende incident.<\/p>\n\n\n\n Stap 4 van het onderzoek verdient een eigen paragraaf, omdat dit de meest voorkomende valkuil is bij zelfgehoste websites die te maken krijgen met e-mailbombardementen of andere vormen van misbruik. Een verzoek aan SynoPower Club gaat via Cloudflare en vervolgens de reverse proxy in Synology DSM, voordat het WordPress in de container bereikt. Zonder extra configuratie ziet WordPress het adres van de laatste hop, waardoor elke formulierinvoer, reactie en bestelling wordt geregistreerd met een Cloudflare- of proxy-IP-adres.<\/p>\n\n\n\n Cloudflare geeft het oorspronkelijke adres door in de CF-Connecting-IP-header, en Apache kan zo worden ingesteld dat die header alleen wordt vertrouwd wanneer het verzoek afkomstig is van Cloudflare of uw eigen proxy. We hadden dit slechts enkele dagen eerder aangepast voor fraudebestrijding bij bestellingen, en het wierp direct zijn vruchten af: de formulierinvoer toonde de echte Tor-uitgangsadressen, waardoor het patroon binnen enkele minuten zichtbaar werd.<\/p>\n\n\n\n Als je je website host op een Synology NAS achter Cloudflare, controleer dit dan voordat je het nodig hebt. Verstuur een testverbinding vanaf je telefoon via mobiele data en controleer of het opgeslagen IP-adres overeenkomt met het adres dat je telefoon rapporteert.<\/p>\n\n\n\n Een winkel die Synology-licenties verkoopt, moet Synology kunnen draaien, en die van ons doet dat ook, volledig. Virtual Machine Manager<\/a> Container Manager host de Virtual DSM-instantie waarop de site draait, en beheert WordPress en de bijbehorende database. Synology MailPlus<\/a> Verstuurt elke orderbevestiging, licentielevering en antwoord op formulieren.<\/p>\n\n\n\nWat is e-mailbombardement en waarom zijn contactformulieren doelwit?<\/h2>\n\n\n\n
Hoe e-mailbombardementen onze door Synology gehoste webwinkel hebben getroffen<\/h2>\n\n\n\n
\n
![\"Het](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Waarom een draaihek en een lokval het niet konden tegenhouden<\/h2>\n\n\n\n
Het traceren van e-mailbombardementen op een Synology NAS in 4 stappen<\/h2>\n\n\n\n
Lees de formulierinzendingen<\/h3>\n
Controleer wie de e-mail heeft ontvangen.<\/h3>\n
Vergelijk de IP-adressen met de Tor-lijst.<\/h3>\n
Controleer of de IP-adressen van echte bezoekers zijn.<\/h3>\n
![\"WordPress-maillogboek](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Wat we hebben veranderd na het onderzoek<\/h2>\n\n\n\n
Moet je het automatische antwoord behouden na een e-mailbombardement?<\/h2>\n\n\n\n
Het echte IP-adres van de bezoeker achterhalen achter Cloudflare en een reverse proxy van Synology<\/h2>\n\n\n\n
Waarom we SynoPower Club op Synology draaien<\/h2>\n\n\n\n
![\"WordPress-](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")