SynoPower Club-punkt:<\/strong> Jag har arbetat med supporten p\u00e5 Synology i flera \u00e5r, och den vanligaste oron jag h\u00f6rde om egenhosting var att en d\u00e5lig kv\u00e4ll skulle ta ner webbplatsen. Den h\u00e4r gjorde det inte. NAS-servern fortsatte att servera sidor, butiken fortsatte att ta emot best\u00e4llningar, och det enda symtomet var drygt tio rader i formul\u00e4rposterna. Det som gjorde skillnaden var att ha allt p\u00e5 ett st\u00e4lle: formul\u00e4rposterna, e-postloggen och bes\u00f6karnas IP-adresser l\u00e5g alla p\u00e5 samma Synology-box, s\u00e5 att sp\u00e5ra e-postbombningen tog ett enda sittande steg ist\u00e4llet f\u00f6r tre support\u00e4renden till tre olika hostingf\u00f6retag.<\/p>\n<\/blockquote>\n\n\n\n E-postbombning beh\u00f6ver inte bryta sig in i n\u00e5gonting. Angriparen tar offrets adress och skriver in den i s\u00e5 m\u00e5nga offentliga formul\u00e4r som m\u00f6jligt: nyhetsbrevsregistreringar, kontoregistreringar och kontaktformul\u00e4r som skickar en kopia av meddelandet tillbaka till avs\u00e4ndaren. Varje webbplats skickar sedan ett riktigt, korrekt signerat e-postmeddelande till offret. Inget av dessa meddelanden \u00e4r skr\u00e4ppost i teknisk mening, s\u00e5 de seglar f\u00f6rbi filter och staplas i inkorgen.<\/p>\n\n\n\n M\u00e5let \u00e4r s\u00e4llan sj\u00e4lva \u00f6versv\u00e4mningen. Microsoft Threat Intelligence har dokumenterat grupper som anv\u00e4nder e-postbombningar som ett f\u00f6rsta steg och sedan ringer offret och l\u00e5tsas vara IT-helpdesk som ska \u00e5tg\u00e4rda spamproblemet. Andra angripare anv\u00e4nder \u00f6versv\u00e4mningen f\u00f6r att d\u00f6lja en bankavisering, en k\u00f6pbekr\u00e4ftelse eller ett l\u00f6senords\u00e4ndringsmeddelande medan de missbrukar ett stulet konto.<\/p>\n\n\n\n Kontaktformul\u00e4r \u00e4r attraktiva eftersom m\u00e5nga av dem automatiskt svarar till den adress som skrivs in i e-postf\u00e4ltet. F\u00f6r angriparen \u00e4r det en gratis, anonym e-postrel\u00e4 med ett p\u00e5litligt avs\u00e4ndarnamn. F\u00f6r webbplats\u00e4garen betyder det att din dom\u00e4n skickar e-post till personer som aldrig bett om det, och vissa av dem kommer att trycka p\u00e5 skr\u00e4ppostknappen.<\/p>\n\n\n\n M\u00f6nstret var uppenbart n\u00e4r vi tittade p\u00e5 bidragen sida vid sida. Mellan kv\u00e4llen den 24 september och n\u00e4sta morgon fick v\u00e5rt supportformul\u00e4r tio bidrag, med en till tv\u00e5 timmars mellanrum. Den l\u00e5ngsamma takten \u00e4r avsiktlig: den h\u00e5ller sig under de flesta trafikgr\u00e4nser och ser ut som vanlig trafik.<\/p>\n\n\n\n Ingen av dessa personer hade n\u00e5gonsin bes\u00f6kt SynoPower Club. V\u00e5rt bekr\u00e4ftelsemejl, med ett \u00e4mne som SynoPower #1234: Produktf\u00f6rfr\u00e5gan, skickades till var och en av dem. Om du fick ett av dessa meddelanden och aldrig kontaktade oss, var du m\u00e5ltavla f\u00f6r e-postbombning: din adress angavs av n\u00e5gon annan. Inget konto skapades \u00e5t dig och ingenting debiterades. V\u00e5r guide om hur man vet om ett e-postmeddelande verkligen kommer fr\u00e5n SynoPower Club<\/a> listar alla adresser vi skickar fr\u00e5n.<\/p>\n\n\n\n V\u00e5rt formul\u00e4r hade redan tv\u00e5 f\u00f6rsvar mot skr\u00e4ppost aktiverade, men e-postbombningen gick rakt igenom dem: Cloudflare Turnstile och ett dolt honeypot-f\u00e4lt. B\u00e5da gjorde sitt jobb, och ingen av dem var byggd f\u00f6r detta.<\/p>\n\n\n\n En honeypot f\u00e5ngar upp skript som fyller i alla f\u00e4lt p\u00e5 sidan, inklusive ett som \u00e4r dolt f\u00f6r m\u00e4nniskor. Dessa inl\u00e4gg kom fr\u00e5n en riktig webbl\u00e4sare som bara fyllde i de synliga f\u00e4lten, s\u00e5 f\u00e4llan f\u00f6rblev tom. Turnstile kontrollerar om bes\u00f6karen beter sig som en riktig webbl\u00e4sare och person. Var och en av de tio inl\u00e4ggen hade en giltig Turnstile-token, vilket visar att avs\u00e4ndaren anv\u00e4nde en genuin webbl\u00e4sare i m\u00e4nsklig takt, inte ett grovt skript.<\/p>\n\n\n\n Det \u00e4r den \u00e4rliga gr\u00e4nsen f\u00f6r botkontroller mot e-postbombningar. De g\u00f6r massautomatiserat missbruk dyrt, men en t\u00e5lmodig avs\u00e4ndare som skickar in ett formul\u00e4r i timmen via en vanlig webbl\u00e4sare ser precis ut som en kund. F\u00f6r att stoppa det beh\u00f6ver det en signal om var beg\u00e4ran kommer ifr\u00e5n, inte bara hur den beter sig.<\/p>\n\n\n\n Eftersom hela stacken k\u00f6rs p\u00e5 ett enda Synology-system l\u00e4mnade unders\u00f6kningen aldrig NAS:en. Det h\u00e4r \u00e4r de fyra kontrollerna vi k\u00f6rde, i ordning, och de fungerar f\u00f6r alla WordPress-webbplatser som finns i Container Manager eller Web Station.<\/p>\n\n\n \u00d6ppna listan \u00f6ver inl\u00e4gg i ditt formul\u00e4rtill\u00e4gg och sortera efter datum. Leta efter slumpm\u00e4ssiga namn eller meddelanden, upprepade \u00e4mnen och ett stadigt intervall mellan inl\u00e4ggen, och notera sedan IP-adressen som lagras med varje inl\u00e4gg.<\/p>\n<\/div>\n<\/div>\n \u00d6ppna e-postloggen f\u00f6r ditt SMTP-plugin, eller leveransloggen i Synology MailPlus-servern, och s\u00f6k efter postnumren. Detta visar om din webbplats faktiskt skickade en bekr\u00e4ftelse till varje adress och om den levererades.<\/p>\n<\/div>\n<\/div>\n Ladda ner Tor-projektets bulk-exitlista och s\u00f6k i den efter varje IP-adress bland posterna. I v\u00e5rt fall var alla tio adresser Tor-exitnoder, medan ingen av de 199 genuina posterna sedan 2024 kom fr\u00e5n en adress p\u00e5 den listan.<\/p>\n<\/div>\n<\/div>\n Se till att IP-adresserna i dina loggar tillh\u00f6r bes\u00f6kare och inte Cloudflare eller din omv\u00e4nda proxy. Om varje post visar samma f\u00e5 adresser, \u00e5terst\u00e4ll den ursprungliga bes\u00f6karens IP-adress innan du drar n\u00e5gra slutsatser.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n \u00c5tg\u00e4rden f\u00f6r e-postbombningen var tvungen att uppfylla tv\u00e5 villkor: stoppa den h\u00e4r avs\u00e4ndaren helt och inte skapa problem f\u00f6r de kunder som anv\u00e4nder formul\u00e4ret f\u00f6r att fr\u00e5ga om licenser varje vecka. Vi best\u00e4mde oss f\u00f6r en riktad f\u00f6r\u00e4ndring.<\/p>\n\n\n\n Formul\u00e4rinskick som anl\u00e4nder via Tor-n\u00e4tverket nekas nu, p\u00e5 alla formul\u00e4r p\u00e5 webbplatsen. Cloudflare markerar Tor-trafik med den speciella landskoden T1, och vi kontrollerar \u00e4ven bes\u00f6karens IP-adress mot Tor-projektets utg\u00e5ngslista, som uppdateras dagligen, s\u00e5 regeln g\u00e4ller fortfarande om en beg\u00e4ran n\u00e5gonsin n\u00e5r NAS:en utan att passera via Cloudflare. Alla som nekas ser ett kort meddelande med v\u00e5r supportadress, s\u00e5 en genuin kund som f\u00f6redrar Tor kan fortfarande n\u00e5 oss via e-post.<\/p>\n\n\n\n Webbl\u00e4snings-, kassasidorna och kontosidorna \u00e4r or\u00f6rda. \u00c4ndringen g\u00e4ller endast i det \u00f6gonblick d\u00e5 ett formul\u00e4r skickas in, vilket \u00e4r exakt d\u00e4r missbruket intr\u00e4ffade.<\/p>\n\n\n\n Det starkaste f\u00f6rsvaret mot e-postbombning via ett formul\u00e4r \u00e4r att sluta skicka n\u00e5got till den adress som skrivits in i det. Om formul\u00e4ret bara meddelar dig, vinner en angripare ingenting p\u00e5 att ange en fr\u00e4mlings adress. Vi \u00f6verv\u00e4gde det alternativet noga.<\/p>\n\n\n\n Vi valde att beh\u00e5lla bekr\u00e4ftelsen. M\u00e5nga av v\u00e5ra kunder skriver in eftersom en licensnyckel inte aktiverades eller att ett best\u00e4llningsmejl hamnade i skr\u00e4pposten, och ett omedelbart svar som s\u00e4ger att vi mottagit meddelandet, med ett \u00e4rendenummer, minskar deras stress avsev\u00e4rt. Att ta bort det skulle straffa varje riktig kund och besv\u00e4ra en avs\u00e4ndare.<\/p>\n\n\n\n Avv\u00e4gningen \u00e4r dock tydlig. Att blockera Tor st\u00e4nger rutten som den h\u00e4r avs\u00e4ndaren anv\u00e4nde, men en beslutsam angripare skulle kunna byta till vanliga proxyservrar. Om skr\u00e4pinl\u00e4gg returnerar fr\u00e5n adresser som inte \u00e4r fr\u00e5n Tor \u00e4r n\u00e4sta steg att g\u00f6ra bekr\u00e4ftelsen valfri eller st\u00e4nga av den, och det beslutet h\u00f6r hemma p\u00e5 din checklista innan det h\u00e4nder, inte under n\u00e4sta incident.<\/p>\n\n\n\n Steg 4 i unders\u00f6kningen f\u00f6rtj\u00e4nar ett eget avsnitt, eftersom det \u00e4r den vanligaste f\u00e4llan n\u00e4r en egenhostad webbplats hanterar email bombing eller annat missbruk. En f\u00f6rfr\u00e5gan till SynoPower Club passerar via Cloudflare, sedan den omv\u00e4nda proxyn i Synology DSM, innan den n\u00e5r WordPress i sin container. Utan extra konfiguration ser WordPress adressen f\u00f6r det sista hoppet, s\u00e5 varje formul\u00e4rinmatning, kommentar och best\u00e4llning registreras med en Cloudflare- eller proxy-IP-adress.<\/p>\n\n\n\n Cloudflare skickar den ursprungliga adressen i CF-Connecting-IP-headern, och Apache kan f\u00e5 instruktioner att lita p\u00e5 den headern endast n\u00e4r beg\u00e4ran kommer fr\u00e5n Cloudflare eller din egen proxy. Vi hade \u00e5tg\u00e4rdat detta bara n\u00e5gra dagar tidigare f\u00f6r bedr\u00e4gerikontroll p\u00e5 best\u00e4llningar, och det l\u00f6nade sig omedelbart: formul\u00e4rposterna visade de riktiga Tor-utg\u00e5ngsadresserna, vilket var det som gjorde m\u00f6nstret synligt p\u00e5 n\u00e5gra minuter.<\/p>\n\n\n\n Om du har en Synology NAS bakom Cloudflare, kontrollera detta innan du beh\u00f6ver den. Skicka in en testpost fr\u00e5n din telefon p\u00e5 mobildata och bekr\u00e4fta att den lagrade IP-adressen matchar den som din telefon rapporterar.<\/p>\n\n\n\n En butik som s\u00e4ljer Synology-licenser borde kunna k\u00f6ra p\u00e5 Synology, och v\u00e5r g\u00f6r det, alltihop. Virtual Machine Manager<\/a> v\u00e4rd f\u00f6r Virtual DSM-instansen som inneh\u00e5ller webbplatsen, Container Manager k\u00f6r WordPress och dess databas, och Synology MailPlus<\/a> skickar varje orderbekr\u00e4ftelse, licensleverans och formul\u00e4rsvar.<\/p>\n\n\n\nVad e-postbombning \u00e4r och varf\u00f6r kontaktformul\u00e4r \u00e4r m\u00e5ltavlor<\/h2>\n\n\n\n
Hur e-postbombning d\u00f6k upp i v\u00e5r Synology-hostade butik<\/h2>\n\n\n\n
\n
![\"E-postbombning](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Varf\u00f6r v\u00e4ndkorset och en honungsgryta inte stoppade det<\/h2>\n\n\n\n
Sp\u00e5ra e-postbombning p\u00e5 en Synology NAS i 4 steg<\/h2>\n\n\n\n
L\u00e4s formul\u00e4rposterna<\/h3>\n
Kontrollera vem som f\u00e5tt post<\/h3>\n
J\u00e4mf\u00f6r IP-adresser med Tor-listan<\/h3>\n
Bekr\u00e4fta att IP-adresserna \u00e4r riktiga bes\u00f6kare<\/h3>\n
![\"WordPress](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Vad vi \u00e4ndrade efter utredningen<\/h2>\n\n\n\n
Ska du beh\u00e5lla autosvaret efter e-postbombning?<\/h2>\n\n\n\n
F\u00e5 den riktiga bes\u00f6karens IP bakom Cloudflare och Synology Reverse Proxy<\/h2>\n\n\n\n
Varf\u00f6r vi k\u00f6r SynoPower Club p\u00e5 Synology<\/h2>\n\n\n\n
![\"WordPress-](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")