Ponto SynoPower Club:<\/strong> Passei anos na \u00e1rea de suporte da Synology, e a preocupa\u00e7\u00e3o mais comum que ouvia sobre hospedagem pr\u00f3pria era que uma noite ruim derrubaria o site. Mas isso n\u00e3o aconteceu. O NAS continuou exibindo p\u00e1ginas, a loja continuou recebendo pedidos, e o \u00fanico sintoma foram dez linhas aleat\u00f3rias nos formul\u00e1rios de contato. O que fez a diferen\u00e7a foi ter tudo em um s\u00f3 lugar: os formul\u00e1rios, o registro de e-mails e os IPs dos visitantes estavam todos no mesmo servidor da Synology, ent\u00e3o rastrear o ataque de e-mails foi uma tarefa simples, em vez de abrir tr\u00eas chamados de suporte para tr\u00eas empresas de hospedagem diferentes.<\/p>\n<\/blockquote>\n\n\n\n O bombardeio de e-mails n\u00e3o exige invas\u00e3o de sistemas. O atacante obt\u00e9m o endere\u00e7o da v\u00edtima e o digita em tantos formul\u00e1rios p\u00fablicos quanto poss\u00edvel: inscri\u00e7\u00f5es em newsletters, cadastros de contas e formul\u00e1rios de contato que enviam uma c\u00f3pia da mensagem de volta ao remetente. Cada site, ent\u00e3o, envia um e-mail leg\u00edtimo e devidamente assinado para a v\u00edtima. Nenhuma dessas mensagens \u00e9 considerada spam no sentido t\u00e9cnico, portanto, elas passam pelos filtros e se acumulam na caixa de entrada.<\/p>\n\n\n\n O objetivo raramente \u00e9 o pr\u00f3prio bombardeio de e-mails. A Microsoft Threat Intelligence documentou grupos que usam o bombardeio de e-mails como primeiro passo e, em seguida, ligam para a v\u00edtima fingindo ser da equipe de suporte de TI que resolver\u00e1 o problema de spam. Outros atacantes usam o bombardeio para ocultar um alerta banc\u00e1rio, uma confirma\u00e7\u00e3o de compra ou um aviso de altera\u00e7\u00e3o de senha enquanto fazem mau uso de uma conta roubada.<\/p>\n\n\n\n Os formul\u00e1rios de contato s\u00e3o atraentes porque muitos deles respondem automaticamente para o endere\u00e7o digitado no campo de e-mail. Para o atacante, isso representa um servidor de retransmiss\u00e3o de e-mails gratuito e an\u00f4nimo com um nome de remetente confi\u00e1vel. Para o propriet\u00e1rio do site, significa que seu dom\u00ednio est\u00e1 enviando e-mails para pessoas que nunca os solicitaram, e algumas delas clicar\u00e3o no bot\u00e3o de spam.<\/p>\n\n\n\n O padr\u00e3o ficou \u00f3bvio quando analisamos as inscri\u00e7\u00f5es lado a lado. Entre a noite de 24 de setembro e a manh\u00e3 seguinte, nosso formul\u00e1rio de suporte recebeu dez envios, com intervalos de uma a duas horas entre eles. Esse ritmo lento \u00e9 intencional: ele se mant\u00e9m abaixo da maioria dos limites de velocidade e se assemelha ao tr\u00e1fego normal.<\/p>\n\n\n\n Nenhuma dessas pessoas jamais havia visitado o site SynoPower Club. Nosso e-mail de confirma\u00e7\u00e3o, com um assunto como SynoPower #1234: Consulta de Produto, foi enviado para cada uma delas. Se voc\u00ea recebeu uma dessas mensagens e nunca entrou em contato conosco, voc\u00ea foi alvo de um ataque de e-mail em massa: seu endere\u00e7o foi inserido por outra pessoa. Nenhuma conta foi criada para voc\u00ea e nada foi cobrado. Nosso guia sobre Como saber se um e-mail \u00e9 realmente da SynoPower Club?<\/a> Lista todos os endere\u00e7os de onde enviamos.<\/p>\n\n\n\n Nosso formul\u00e1rio j\u00e1 tinha duas defesas contra spam ativadas, mas o bombardeio de e-mails passou direto por elas: Cloudflare Turnstile e um campo honeypot oculto. Ambos cumpriram sua fun\u00e7\u00e3o, e nenhum deles foi projetado para isso.<\/p>\n\n\n\n Um honeypot captura scripts que preenchem todos os campos da p\u00e1gina, incluindo um oculto para humanos. Esses envios vieram de um navegador real que preencheu apenas os campos vis\u00edveis, ent\u00e3o a armadilha permaneceu vazia. O Turnstile verifica se o visitante se comporta como um navegador e uma pessoa reais. Cada uma das dez entradas continha um token Turnstile v\u00e1lido, o que nos indica que o remetente estava usando um navegador genu\u00edno em um ritmo humano, e n\u00e3o um script rudimentar.<\/p>\n\n\n\n Esse \u00e9 o limite real das verifica\u00e7\u00f5es de bots contra o bombardeio de e-mails. Elas tornam o abuso automatizado em massa caro, mas um remetente paciente que envia um formul\u00e1rio por hora por meio de um navegador normal se parece exatamente com um cliente. Para impedir isso, \u00e9 preciso um sinal sobre a origem da solicita\u00e7\u00e3o, n\u00e3o apenas sobre como ela se comporta.<\/p>\n\n\n\n Como toda a infraestrutura roda em um \u00fanico sistema Synology, a investiga\u00e7\u00e3o nunca saiu do NAS. Estas s\u00e3o as quatro verifica\u00e7\u00f5es que realizamos, em ordem, e elas funcionam para qualquer site WordPress hospedado no Container Manager ou no Web Station.<\/p>\n\n\n Abra a lista de entradas do seu plugin de formul\u00e1rio e ordene por data. Procure por nomes ou mensagens aleat\u00f3rias, t\u00f3picos repetidos e um intervalo constante entre os envios. Em seguida, anote o endere\u00e7o IP armazenado em cada entrada.<\/p>\n<\/div>\n<\/div>\n Abra o registro de e-mails do seu plugin SMTP ou o registro de entrega no servidor Synology MailPlus e procure pelos n\u00fameros de entrada. Isso mostra se o seu site realmente enviou uma confirma\u00e7\u00e3o para cada endere\u00e7o e se ela foi entregue.<\/p>\n<\/div>\n<\/div>\n Baixe a lista de n\u00f3s de sa\u00edda em massa do Projeto Tor e pesquise cada endere\u00e7o IP nas entradas. No nosso caso, todos os dez endere\u00e7os eram n\u00f3s de sa\u00edda do Tor, enquanto nenhuma das 199 entradas genu\u00ednas desde 2024 veio de um endere\u00e7o nessa lista.<\/p>\n<\/div>\n<\/div>\n Certifique-se de que os IPs nos seus registros pertencem a visitantes e n\u00e3o ao Cloudflare ou ao seu proxy reverso. Se todas as entradas mostrarem os mesmos endere\u00e7os, restaure o IP original do visitante antes de tirar qualquer conclus\u00e3o.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n A solu\u00e7\u00e3o para o bombardeio de e-mails precisava atender a duas condi\u00e7\u00f5es: interromper completamente o envio desse remetente e n\u00e3o criar atrito para os clientes que usam o formul\u00e1rio semanalmente para solicitar informa\u00e7\u00f5es sobre licen\u00e7as. Optamos por uma \u00fanica altera\u00e7\u00e3o espec\u00edfica.<\/p>\n\n\n\n Os formul\u00e1rios enviados pela rede Tor agora s\u00e3o recusados em todos os formul\u00e1rios do site. O Cloudflare marca o tr\u00e1fego Tor com o c\u00f3digo de pa\u00eds especial T1, e tamb\u00e9m verificamos o IP do visitante na lista de sa\u00eddas do Projeto Tor, atualizada diariamente. Portanto, a regra continua v\u00e1lida mesmo se uma solicita\u00e7\u00e3o chegar ao NAS sem passar pelo Cloudflare. Qualquer pessoa que tenha sua solicita\u00e7\u00e3o recusada ver\u00e1 uma breve mensagem com nosso endere\u00e7o de suporte, permitindo que um cliente leg\u00edtimo que prefira usar o Tor ainda possa entrar em contato conosco por e-mail.<\/p>\n\n\n\n As p\u00e1ginas de navega\u00e7\u00e3o, finaliza\u00e7\u00e3o de compra e conta permanecem inalteradas. A mudan\u00e7a s\u00f3 se aplica no momento em que um formul\u00e1rio \u00e9 enviado, que \u00e9 exatamente onde o abuso ocorreu.<\/p>\n\n\n\n A defesa mais eficaz contra ataques de e-mail em massa por meio de formul\u00e1rios \u00e9 impedir o envio de qualquer coisa para o endere\u00e7o digitado nele. Se o formul\u00e1rio apenas notifica voc\u00ea, o atacante n\u00e3o ganha nada ao inserir o endere\u00e7o de um desconhecido. Levamos essa op\u00e7\u00e3o muito a s\u00e9rio.<\/p>\n\n\n\n Optamos por manter a confirma\u00e7\u00e3o. Muitos dos nossos clientes nos contatam porque uma chave de licen\u00e7a n\u00e3o foi ativada ou um e-mail de confirma\u00e7\u00e3o de pedido foi para a pasta de spam, e uma resposta imediata informando que recebemos a mensagem, com um n\u00famero de protocolo, reduz bastante o estresse deles. Remover essa confirma\u00e7\u00e3o seria prejudicar todos os clientes leg\u00edtimos para causar um pequeno transtorno a um \u00fanico remetente.<\/p>\n\n\n\n A contrapartida \u00e9 clara. Bloquear o Tor fecha a rota usada por esse remetente, mas um atacante determinado poderia usar proxies comuns. Se mensagens indesejadas forem retornadas de endere\u00e7os que n\u00e3o usam Tor, o pr\u00f3ximo passo \u00e9 tornar a confirma\u00e7\u00e3o opcional ou desativ\u00e1-la, e essa decis\u00e3o deve estar na sua lista de verifica\u00e7\u00e3o antes que o problema ocorra, n\u00e3o durante o pr\u00f3ximo incidente.<\/p>\n\n\n\n A etapa 4 da investiga\u00e7\u00e3o merece uma se\u00e7\u00e3o pr\u00f3pria, pois \u00e9 a armadilha mais comum quando um site auto-hospedado lida com bombardeio de e-mails ou qualquer outro tipo de abuso. Uma solicita\u00e7\u00e3o para SynoPower Club passa pelo Cloudflare, depois pelo proxy reverso no DSM Synology, antes de chegar ao WordPress em seu cont\u00eainer. Sem configura\u00e7\u00e3o adicional, o WordPress v\u00ea o endere\u00e7o do \u00faltimo salto, portanto, cada entrada de formul\u00e1rio, coment\u00e1rio e pedido \u00e9 registrado com um IP do Cloudflare ou do proxy.<\/p>\n\n\n\n O Cloudflare repassa o endere\u00e7o original no cabe\u00e7alho CF-Connecting-IP, e o Apache pode ser configurado para confiar nesse cabe\u00e7alho somente quando a solicita\u00e7\u00e3o vier do Cloudflare ou do seu pr\u00f3prio proxy. Hav\u00edamos corrigido isso poucos dias antes para a verifica\u00e7\u00e3o de fraudes em pedidos, e o resultado foi imediato: os campos do formul\u00e1rio exibiam os endere\u00e7os de sa\u00edda reais do Tor, o que tornou o padr\u00e3o vis\u00edvel em minutos.<\/p>\n\n\n\n Se voc\u00ea hospeda seus dados em um NAS Synology atr\u00e1s do Cloudflare, verifique isso antes de precisar. Envie uma solicita\u00e7\u00e3o de teste do seu celular usando dados m\u00f3veis e confirme se o IP armazenado corresponde ao IP exibido pelo seu celular.<\/p>\n\n\n\n Uma loja que vende licen\u00e7as Synology deve ser capaz de executar o sistema no Synology, e a nossa \u00e9, em sua totalidade. Virtual Machine Manager<\/a> hospeda a inst\u00e2ncia Virtual DSM que cont\u00e9m o site, o Container Manager executa o WordPress e seu banco de dados, e Synology MailPlus<\/a> Envia todas as confirma\u00e7\u00f5es de pedido, entregas de licen\u00e7a e respostas a formul\u00e1rios.<\/p>\n\n\n\nO que \u00e9 bombardeio de e-mail e por que os formul\u00e1rios de contato s\u00e3o alvos?<\/h2>\n\n\n\n
Como o bombardeio de e-mails apareceu em nossa loja hospedada no Synology<\/h2>\n\n\n\n
\n
![\"Envio](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Por que a catraca e o dispositivo de captura de insetos n\u00e3o impediram isso?<\/h2>\n\n\n\n
Rastreando ataques de e-mail em massa em um NAS Synology em 4 etapas<\/h2>\n\n\n\n
Leia as informa\u00e7\u00f5es do formul\u00e1rio<\/h3>\n
Verifique quem recebeu a correspond\u00eancia.<\/h3>\n
Compare os endere\u00e7os IP com a lista do Tor.<\/h3>\n
Confirme se os endere\u00e7os IP correspondem a visitantes reais.<\/h3>\n
![\"O](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
O que mudamos ap\u00f3s a investiga\u00e7\u00e3o<\/h2>\n\n\n\n
Voc\u00ea deve manter a resposta autom\u00e1tica ap\u00f3s um ataque de e-mail em massa?<\/h2>\n\n\n\n
Obtendo o IP real do visitante por tr\u00e1s do Cloudflare e do proxy reverso Synology.<\/h2>\n\n\n\n
Por que executamos o SynoPower Club no Synology?<\/h2>\n\n\n\n
![\"Cont\u00eaineres](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")