¿El SPAM puede llegar a salir caro?

Hace tiempo me registré en un evento de ciberseguridad dando mi correo electrónico, lo normal, vaya. Abajo había una casilla obligatoria por la que aceptabas contenido publicitario. Lo normal.

Pero un día empiezan a llegarte correos de gente rara, empresas de las que nunca has oído hablar, que jamás han organizado ningún evento en el que te hayas registrado. Enhorabuena: han vendido la base de datos con tu contacto, y quienes la han comprado la han vuelto a revender. Tus datos pertenecen al dominio público.

¿Es legal? Pues no. Se supone que has tenido que aceptar la cesión de tus datos a terceros con un consentimiento expreso e informado. Ellos se escudarán en que la casilla de “acepto recibir comunicaciones comerciales” incluía una cláusula que les permite ceder tus datos. Pero eso no es legal.

Te deseo mucha suerte y paciencia en tu cruzada para denunciar a esa empresa. Por un lado, no sabes muy bien quién ni de qué evento salió esa cesión —probablemente de todos aquellos en los que alguna vez te has registrado—, así que la trazabilidad será muy complicada. Por otro, como mucho la AEPD le pondrá una multa inferior al beneficio, que nunca sabrás si se llega a cobrar, ni qué pasa después con ese dinero.

Chico, lo siento mucho, pero yo paso. Hay una herramienta mucho más efectiva que no cuesta nada.

Un botón que se llama “Denunciar spam”, “Informar de correo no deseado” o cualquier derivado; ya nos entendemos. Debería ser algo obligatorio: un esfuerzo mínimo con una recompensa enorme. Te cuento cómo funciona.

Lo primero y más evidente: al hacer clic en el botón se crea automáticamente una regla por la que esa dirección irá directamente a la carpeta de spam. Te has ahorrado los próximos cinco correos de seguimiento.

Y ahora, lo más interesante: tanto Google como Microsoft tienen un indicador interno llamado SCL (Spam Confidence Level). Bueno, en Google se llama de otra forma, pero ¿qué más da? Es un número del -1 al 9 que viaja escondido en la cabecera de cada correo, invisible para el usuario normal, pero que decide en fracciones de segundo si tu mensaje entra en la bandeja principal o al fondo del cajón.

Por eso borrar los correos no sirve. Borrar es apartar el problema y dejarlo vivo: el spammer sigue mandando, sigue cobrando, sigue existiendo. Marcar como spam es otra cosa: es envenenarle el pozo. Es decirle al sistema “este no merece llegar a nadie”.

Ahora pensarás como yo: seguro que mi reporte no sirve de mucho. Pues no. Los márgenes con los que trabajan estos sistemas son ridículamente pequeños. Google empieza a mirarte mal a partir de un 0,3% de quejas. Microsoft, en rangos parecidos. Décimas de porcentaje. Nada.

Hagamos números. Alguien manda 50 correos al día. De esos, 10 le marcan como spam: un 20%. Eso no es “un poco alto”: es casi cien veces el umbral que dispara el bloqueo. Y ahí está el error de intuición más común: pensar que, como el volumen es bajo, el daño también lo es. Al revés. Los sistemas no premian el volumen bajo, lo penalizan más. Un dominio nuevo, con poco historial, no tiene reputación previa que amortigüe el golpe: se quema más rápido, no más lento.

Y esto funciona a nivel de dominio e IP, no de direcciones concretas. Es decir: esa empresa spameadora no puede librarse simplemente creándose otra cuenta de correo.

Como conclusión: ya que nuestros organismos encargados de proteger nuestra privacidad no lo están haciendo del todo bien —pero eso es otro artículo—, al menos cojamos el toro por los cuernos y produzcamos un beneficio para la sociedad con un pequeño gesto.

El botón que crees inocente es un arma. Úsala.