‘ลูปแห่งความหงุดหงิด’

 (herman.bearblog.dev)
2 คะแนน โดย GN⁺ 2023-09-24 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • แพลตฟอร์มบล็อกฟรี Bear ตกเป็นเป้าของ ฟาร์มแบ็กลิงก์, ฟิชชิง, การขายยาเสพติดผิดกฎหมาย, โฆษณาคาสิโนออนไลน์ และสแปมโปรโมตคริปโต เพราะมีอุปสรรคในการสมัครใช้งานต่ำ
  • แม้จะลดการมองเห็นได้ด้วย no-index·no-follow และการไม่รวมในฟีด แต่ก็ยากที่จะป้องกันไม่ให้ คอนเทนต์สแปมถูกโพสต์ขึ้นบนแพลตฟอร์มตั้งแต่แรก
  • การบล็อกด้วย Akismet มีประสิทธิภาพ แต่ข้อความแจ้งบล็อกกลับกลายเป็นการให้ เบาะแสสำหรับการหลบเลี่ยง แก่สแปมเมอร์
  • ‘ลูปแห่งความหงุดหงิด’ คือวิธีที่ไม่บล็อกตรง ๆ แต่ใช้การรีเซ็ตฟอร์ม, ปิดการวางข้อความ, ย้ายโฟกัส, และแสดงข้อผิดพลาดซ้ำ ๆ เพื่อ ทำให้สแปมเมอร์เสียเวลา
  • หลังนำไปใช้ สัดส่วนสแปมในบล็อกใหม่ลดลงจากราว 30% เหลือต่ำกว่า 5% และตลอด 3 เดือนมีผู้ใช้ที่แจ้งปัญหาเพียง 1 ราย ซึ่งเป็นผู้ลงโฆษณาคาสิโนออนไลน์

เหตุผลที่ Bear กลายเป็นเป้าของสแปม

  • Bear ใช้งานได้ฟรี จึงสมัครได้ง่าย และทำให้มีสแปมเมอร์จำนวนมากเข้ามาใช้แพลตฟอร์มในทางที่ผิด
  • สแปมนี้ใกล้เคียงกับ ฟาร์มสแปม มากกว่าทราฟฟิกจากบอตทั่วไป เช่น การซื้อ “100 backlinks” บน Fiverr
    • คนงานค่าแรงต่ำหลายร้อยคนจะส่งคอนเทนต์ไปยังเว็บไซต์ต่าง ๆ ทั่วอินเทอร์เน็ต
    • เป้าหมายคือดันอันดับ SEO แต่ผู้เขียนมองว่าในความเป็นจริงไม่ได้ผล
  • Bear วางแนวป้องกันพื้นฐานไว้เพื่อไม่ให้สแปมที่ถูกโพสต์ถูกเผยแพร่ไปสู่อินเทอร์เน็ตวงกว้าง
    • บล็อกที่ยังไม่ได้รับการตรวจสอบจะติดแท็ก no-index และ no-follow
    • จะไม่ปรากฏใน sitemap และฟีดค้นพบ
    • หากผู้ใช้เลือกขอให้ตรวจสอบ ก็สามารถยกเลิกสถานะนี้ได้
  • อย่างไรก็ตาม นอกเหนือจากการป้องกันการมองเห็นแล้ว ยังต้องการลดสถานการณ์ที่คอนเทนต์สแปมมีอยู่บนแพลตฟอร์มเองด้วย

วิธีที่ชะลอการหลบเลี่ยงแทนการบล็อก

  • ใช้ Akismet ซึ่งเป็นเครื่องมือสาย WordPress สำหรับตรวจจับสแปม
    • เคยพยายามสร้างระบบตรวจจับเองด้วย GPT4 แต่แม่นยำน้อยกว่า Akismet และมีค่าใช้จ่ายสูงกว่า
    • หลังจากนั้นจึงเปลี่ยนไปใช้การสมัครใช้งาน Akismet
  • การบล็อกตั้งแต่ตอนสมัครมีผลในระดับหนึ่ง แต่เมื่อเวลาผ่านไปสแปมเมอร์ก็เรียนรู้วิธีรับมือ
    • การบล็อกกลายเป็นสัญญาณบอกว่าคอนเทนต์แบบใดจะถูกจับได้
    • สแปมเมอร์จะทำให้ดูเหมือนเป็นบล็อกถูกกฎหมายก่อน แล้วค่อยลงสแปมในพื้นที่ที่การควบคุมอ่อนกว่า
    • สุดท้ายก็ยังต้องค้นหาและติดป้ายด้วยตนเอง
  • การบล็อก IP ก็แทบไม่ได้ผล
    • สแปมเมอร์ใช้ commercial VPN อย่าง Nord
    • แค่ Nord VPN เพียงเจ้าเดียวก็มีเซิร์ฟเวอร์หลายร้อยแห่งทั่วโลก ทำให้แทบป้องกันด้วยการบล็อก IP ไม่ได้
    • ถ้าบล็อกการโพสต์จาก IP บางตัว ก็อาจกระทบผู้ใช้ปกติไปด้วย

วิธีทำงานของ ‘ลูปแห่งความหงุดหงิด’

  • The Frustration Loop คือเมื่อระบบตรวจพบสแปม จะไม่บล็อกบล็อกนั้นทันที แต่ทำให้ดูเหมือนระบบมีข้อผิดพลาดหรือทำงานล้มเหลว เพื่อทำให้ผู้ใช้เหนื่อยล้า
    • ไอเดียนี้ได้มาจาก The Password Game
    • เมื่อพบสแปม ระบบจะล้างฟอร์มและแสดงข้อผิดพลาดอย่าง “Our servers are bearly managing. Try again later.”
    • ปิดการวางข้อความในทุกพื้นที่กรอกข้อความ
    • ทุก ๆ 5~10 วินาที จะย้ายโฟกัสของการพิมพ์ไปยังช่องกรอกอื่น เพื่อให้ข้อความอาจไปโผล่ในที่ที่ไม่เกี่ยวข้องระหว่างพิมพ์
    • หากส่งอีกครั้ง ก็จะแสดงข้อผิดพลาดคนละแบบ เช่น “Ensure content contains necessary parameters.”
    • ทำซ้ำแบบนี้ไปเรื่อย ๆ จนผู้ใช้คิดว่าซอฟต์แวร์พังและยอมเลิกไปเอง
  • มองว่ามีโอกาสน้อยที่จะไปกระทบผู้ใช้ปกติ
    • ในการทดสอบ ไม่สามารถทำให้ระบบนี้ทำงานได้ หากไม่ได้แสดงพฤติกรรมที่น่าสงสัยอย่างชัดเจน
    • ใช้งานจริงใน production มา 3 เดือน และมีผู้ใช้แจ้งปัญหาเพียง 1 ราย
    • ผู้ใช้นั้นกำลังลงโฆษณาคาสิโนออนไลน์

ผลลัพธ์หลังใช้งานและช่องโหว่ที่ยังเหลือ

  • หลังนำไปใช้ สัดส่วนสแปมในบล็อกใหม่ลดลงจากประมาณ 30% เหลือต่ำกว่า 5%
  • นี่ไม่ใช่วิธีแก้ปัญหาที่สมบูรณ์แบบ ยังมีส่วนที่ต้องปรับปรุงและช่องโหว่ที่ต้องอุดอยู่อีก
  • แม้จะกังวลว่าการเปิดเผยวิธีนี้อาจทำให้สแปมเมอร์หาทางหลบเลี่ยงได้ แต่ก็เชื่อว่าสแปมเมอร์คงไม่ได้มาอ่านบล็อกนี้

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-09-24
ความคิดเห็นบน Hacker News

  • นึกถึง Newsvine[2] เว็บไซต์ ข่าวชุมชน ยุคแรก ๆ ที่ Mike Davidson[1] อดีตเพื่อนร่วมงานที่ ESPN ทำไว้ในปี 2006
    Newsvine มีคอมเมนต์ การแนะนำ การส่งลิงก์ และการเขียนบทความ เป็นบริการคล้าย Reddit ที่เน้นข่าว เพื่อจัดการกับสแปมเมอร์และโทรล ถ้าฝั่งแบ็กเอนด์ทำเครื่องหมายผู้ใช้ว่าเป็นโทรล ก็จะใส่ดีเลย์แบบสุ่ม 10~60 วินาที ในการโหลดทุกหน้าของบัญชีนั้น และเท่าที่จำได้ มันช่วยลดปัญหาได้ค่อนข้างมีประสิทธิภาพ
    1- http://mikeindustries.com/blog/
    2- https://en.wikipedia.org/wiki/Newsvine

    • ถ้าใช้เกณฑ์นั้น UI มือถือใหม่ของ Reddit ก็คงมองทุกคนเป็นโทรล
    • สงสัยว่าถ้านำไปใช้กับบริการอย่าง Twitter/X โดยคำนึงถึงแม้แต่บุคคลทั่วไปที่สื่อสารกับเจ้าหน้าที่รัฐบาลสหรัฐฯ จะเป็นอย่างไร
      คนที่ถูกทำเครื่องหมายว่าเป็นโทรลในแบ็กเอนด์ด้วยเหตุผลที่ต่างออกไปโดยสิ้นเชิง อาจเจอดีเลย์เมื่อสื่อสารกับเจ้าหน้าที่รัฐได้ ดีเลย์ไม่เหมือนกับการบล็อกก็จริง แต่ก็สงสัยว่าผู้พิพากษาของรัฐบาลกลางจะมองว่าการบั่นทอนประสบการณ์ผู้ใช้นั้นใกล้เคียงกันพอหรือไม่
    • ชอบ Newsvine มาก มันให้ความรู้สึกว่า ล้ำสมัยและน่ายินดีต้อนรับ จริง ๆ
    • สแปมและการโทรลเกิดขึ้นได้ในหนังสือพิมพ์กระดาษ วิทยุ ทีวี หนังสือ และนิตยสารเหมือนกัน เพียงแต่ในสื่อเหล่านั้นต้องจ่ายเงินถึงจะทำได้
      ในอดีต คนรวย ชนชั้นที่มีอภิสิทธิ์ และชนชั้นที่มีเวลาว่าง สามารถซื้อความสนใจได้มากกว่า จึงพรั่งพรูสารพัดเสียงรบกวนที่ผุดขึ้นในหัวออกมาอย่างต่อเนื่อง ตอนนี้ปริมาณการผลิตคอนเทนต์ล้นเกินปริมาณการบริโภคจนไม่มีความสนใจเหลือพอให้กับอะไรสักอย่าง
      ถ้าไม่มีใครอ่าน 99% ของคอมเมนต์และลิงก์ใน HN เลย อัจฉริยะผู้ยอดเยี่ยมที่ดูแล HN จะบอกเรื่องนั้นกับเราหรือเปล่า? แพลตฟอร์มทั้งหลายมอบ สิทธิ์ออกอากาศฟรี ให้ทุกคนโดยที่ตัวเองก็ไม่รู้ว่ากำลังสร้างอะไรอยู่ และตอนนี้ไม่ใช่แค่คนรวย แต่ทุกคนสามารถสแปมและโทรลได้ฟรี สิ่งที่เหลือมีแต่เสียงรบกวน ลองอ่านรายงานเศรษฐกิจความสนใจของ UN ดูก็ได้
      ดูเหมือนเหตุผลเดียวที่ระบบไร้ความหมายแบบนี้ ซึ่งทำให้เวลาและพลังงานของทุกคนสูญเปล่า เกิดขึ้นมาได้ ก็คือวิศวกรซอฟต์แวร์ที่คิดเป็นเส้นตรงสามารถทำให้ระบบเร็วขึ้นและขยายตัวได้

  • เคยทำงานภายใน Akismet มากกว่า 6 ปี
    Akismet เก่งมากเรื่อง ตรวจจับสแปมคอมเมนต์ แต่ถ้ามันตรวจจับสแปมสมัครสมาชิกได้ดีจริง wordpress.com คงไม่มีบล็อกสแปมมากมายขนาดนั้น
    ผมใช้เสิร์ชเอนจิน รายการคำที่คัดไว้ และเครื่องมือที่นักพัฒนาทำให้ เพื่อตามหาบล็อกสแปม และระงับบล็อกสแปมจริง ๆ ไปหลายพันบล็อก มีพลาดบ้างเป็นครั้งคราว แต่พบไม่บ่อย
    ภายหลังมีการทำเครื่องมืออัตโนมัติบางส่วนขึ้นมา แต่การล่าและระงับแบบนี้ถูกลดความสำคัญลง ช่วงแรก ๆ wordpress.com ต้องดูสะอาดเพื่อจะเติบโตได้ แต่เมื่อเห็นว่าใหญ่พอแล้วก็หยุดไป รู้ดีว่ามันเหมือนเอาปืนฉีดน้ำไปดับรถที่ไฟไหม้ แต่ใช้เวลาไม่นานและค่อนข้างน่าพอใจ
    ช่วงเวลาประมาณนี้ของปี มักจะคุ้ยหา บล็อกสแปม Halloween และเริ่มเห็นบล็อกสแปม Christmas ด้วย

  • ใช้วิธีง่าย ๆ ในการกำจัดสแปมอีเมลโดยไม่ใช้ฟิลเตอร์ของบุคคลที่สาม
    มีโดเมนส่วนตัวสำหรับอีเมล และมี บัญชี catch-all ที่รับอีเมลทั้งหมดที่ส่งมายังโดเมน แต่ให้ที่อยู่อีเมลต่างกันกับแต่ละไซต์และบริการ เช่น sitea@mydomain.com, site2@mydomain.com
    วิธีนี้ทำให้จัดประเภทอีเมลอัตโนมัติได้อย่างเสถียรตามแหล่งที่ส่งมา และผมยังทำรูปแบบชื่อที่ให้ออกไปให้สอดคล้องกันด้วย อีเมลสุ่มที่ไม่ตรงกับรูปแบบนั้นจะถูกลบทันทีโดยไม่ต้องเห็น
    แทบไม่มีสแปมเข้ามา แต่ถ้าบริการใดทำที่อยู่รั่ว ก็เปลี่ยนอีเมลของบริการนั้นหรือยกเลิกบริการ แล้วใส่ที่อยู่นั้นลงในรายการบล็อกรับ มันเรียบง่ายมากจนรู้สึกว่าโปรแกรมอีเมลทุกตัวควรจัดการทั้งโดเมนแบบนี้ได้

    • ถ้าไม่มีโดเมนส่วนตัว ทางเลือกก็มีอย่าง Fastmail masked emails(https://app.fastmail.com), Firefox Relay(https://relay.firefox.com/), SimpleLogin(https://simplelogin.io/) และยังมีอีกมาก
    • ใช้วิธีคล้ายกันคือใช้ที่อยู่แยกกันสำหรับปลายทางภายนอกแต่ละราย และช่วยในการสังเกตฟิชชิงด้วย
      เช่น ถ้ามี “การแจ้งเตือนจากธนาคาร” ส่งมายังที่อยู่ที่สร้างไว้สำหรับร้านค้าออนไลน์แห่งหนึ่ง ก็เป็นของจริงไม่ได้ ที่อยู่ที่ถูกนำไปใช้ในทางที่ผิดสามารถลบออกจาก /etc/aliases เพื่อทำให้ใช้ไม่ได้
      นอกจากนี้ยังตั้งค่าเซิร์ฟเวอร์ postfix ให้ปฏิเสธการเชื่อมต่อถ้าฝั่งผู้ส่งไม่มี การแมป DNS แบบย้อนกลับ วิธีนี้ใช้ได้เมื่อ 20 ปีก่อน และดูจากล็อกตอนนี้ก็ยังมีประโยชน์อยู่
    • ใช้ระบบคล้ายกัน โดเมนเป็น catch-all แต่ให้ที่อยู่แยกกันกับทุกคน และต่อท้าย alias ด้วยชิ้นส่วนที่บอกว่ากฎอีเมลควรทำอะไร
      เช่น ถ้าส่งมาที่ anything_s@mydomain.com ก็เข้าโฟลเดอร์สแปมทันที ใช้แบบนี้กับแทบทุกอย่าง ตั้งแต่ Google ไปจนถึงการสมัครเว็บเล็ก ๆ เพราะส่วนใหญ่สุดท้ายก็ส่งแต่สแปมอยู่ดี และแม้จะเช็กโฟลเดอร์สแปมเป็นครั้งคราว ก็ไม่เคยมีอะไรสำคัญเลย
      อีเมลที่บริษัททั่วไปส่งมาก็ส่วนใหญ่ไม่สนใจ เลยมองว่าเป็นสแปม Uber Eats ก็ส่งหลายฉบับต่อคำสั่งซื้อ ซึ่งตามเกณฑ์ของผมก็เป็นสแปม ถ้าเป็นบริการที่ใส่ใจจริง ๆ ก็คงให้ที่อยู่ที่มี suffix อื่นซึ่งไม่เข้า spam แต่แทบไม่เคยมีกรณีนั้น
      นอกจากสแปมฟิชชิงที่มาเมื่อเว็บไซต์ทำที่อยู่รั่วแล้ว ยังช่วยกรองอีเมลประเภท “ข้อมูลสำคัญเกี่ยวกับการโต้ตอบเล็ก ๆ น้อย ๆ” ที่เว็บไซต์ส่วนใหญ่ส่งมาได้ดีด้วย
    • ใช้ระบบคล้ายกัน แต่จะ “ลงทะเบียน” ที่อยู่ไว้ในไฟล์ .txt ก่อน รูปแบบคือ sitename-random-number@mydomain
      catch-all ทำให้ฝั่งสแปมเมอร์เห็นเหมือนว่าอีเมลทุกฉบับส่งสำเร็จ จึงทำให้สแปมเมอร์ส่งซ้ำต่อไปและสิ้นเปลืองทรัพยากรของพวกเขาได้
    • ทำแบบคล้ายกันมาหลายปีแล้ว แต่ไม่ลบอัตโนมัติ
      จากที่สังเกต สแปมเข้ามาเฉพาะที่อยู่อีเมลที่เผยแพร่ไว้ในบล็อกกับที่อยู่ GitHub เท่านั้น ดูเหมือนไม่มีใครขายที่อยู่ของผมให้สแปมเมอร์ แต่เป็นแค่การกวาดเก็บที่อยู่สาธารณะไป

  • ทีมสแปมของโซเชียลเน็ตเวิร์กมักจะ shadow ban สแปมเมอร์
    เป้าหมายคือทำให้สแปมเมอร์รู้ได้ยากที่สุดว่าตัวเองถูกจับได้แล้ว ดังนั้นผมคิดว่าเทคนิคที่ทำให้หงุดหงิดหรือการระงับบัญชีแบบตรงไปตรงมาจึงไม่ได้ถูกใช้กันแพร่หลาย
    การป้องกันสแปมนั้นน่าสนใจเพราะโดยพื้นฐานแล้วเป็น การแข่งขันสะสมอาวุธ ระหว่างบริษัทที่ deploy ยุทธวิธีตรวจจับ กับสแปมเมอร์ที่เชี่ยวชาญซึ่งใช้วิธีซับซ้อนขึ้นเรื่อย ๆ เพื่อหลบเลี่ยงการตรวจจับ ถ้าทำให้สแปมเมอร์เชื่อได้ว่าไม่จำเป็นต้องพัฒนาวิธีของตัวเองต่อ ก็เป็นผลดีต่อบริษัท

    • ปัญหาคือคนจริง ๆ โดนไปด้วย บัญชี TikTok ของผมอยู่ในสถานะ shadow ban ตอนนี้ไม่ว่าโพสต์อะไรก็ได้ยอดดู 0 และ LIVE ก็มีผู้ชม 0 คน
      บัญชี Instagram ของผมถูกระงับถาวรด้วยเหตุผลว่าผมแอบอ้างเป็นตัวผมเอง แย่กว่านั้นเพราะเสียทั้งบัญชีไป แถมยังให้ส่งเซลฟีไปด้วย แล้วทันทีที่ส่งรูปก็ถูกระงับถาวร
    • น่าขันที่ ทีมตรวจจับสแปม ที่ดีที่สุดกลับทำงานให้สแปมเมอร์ โฆษณาก็คือสแปม เพียงแต่เป็นข้อยกเว้นเฉพาะตอนที่ adtech เป็นคนจ่ายเงินเดือนให้เท่านั้น
    • การระงับบัญชีอาจถูกใช้เป็นอาวุธได้ ขึ้นอยู่กับบริบท เช่นทำให้คนที่ไม่ชอบ ดูเหมือน กำลังทำพฤติกรรมน่าสงสัยเพื่อให้ถูกระงับ
    • เครื่องมือสแปมยุคใหม่ที่ผมเคยเห็นจะรับรายการบัญชีที่สองสำหรับตรวจสอบด้วยเหตุผลนี้
      มันสามารถสุ่มตรวจว่าคอมเมนต์มองเห็นหรือไม่ แล้วลบบัญชีที่ถูก shadow ban ออกโดยอัตโนมัติได้

  • Akismet ไม่มีขั้นตอนอุทธรณ์ที่ใช้งานได้จริง นานมากแล้วผมเคยไปคอมเมนต์ในบล็อกของตัวเองแล้วถูก Akismet แบน
    ถ้าไปคอมเมนต์ในที่ที่ใช้ Akismet ก็จะถูกกรองออกไปแบบเงียบ ๆ ผมเคยถูกแบนใน Disqus ด้วย เพราะโพสต์ลิงก์ที่มีประโยชน์จำนวนมากในคอมเมนต์บล็อกของคนรู้จัก แต่ทางนั้นแก้ให้ภายใน 2 วันและสุภาพมาก
    อย่างน้อย Akismet ก็ควรล้างรายชื่อผู้ใช้ WordPress ที่ถูกแบนมานานจนแทบนับไม่ถ้วน และ WordPress ควรเปลี่ยนไปใช้ ทางเลือกที่บ้าบอน้อยกว่านี้
    การที่ผมตอบกลับในบล็อก WordPress ของตัวเองไม่ได้มันก็ออกจะตลกอยู่ และสำหรับผมแก้ง่ายเพราะแค่ใช้เอนจินบล็อกอื่นก็ได้ แต่ผมไม่ค่อยชอบที่ WordPress ปฏิบัติต่อผู้ใช้ของตัวเองในทำนองว่า “ฆ่าสแปมสักหน่อยเถอะ”

    • ผมเป็นนักพัฒนา Akismet ถ้าส่งข้อมูลไปที่ support@akismet.com เราจะช่วยดูได้ว่าทำไมคอมเมนต์ถึงถูกจับ
    • ในสถานการณ์แบบนี้ ปกติผมจะเลิกยุ่งกับเว็บนั้นไปเลย
      แค่คลิกเดียวก็เพิ่มโดเมนลงในรายการ uBlock แล้วค้นหาชื่อเรื่องใน Google ได้ ไม่มีขั้นตอนอุทธรณ์ใดจะง่ายและน่าเชื่อถือได้เท่านั้น

  • บทความต้นฉบับขาดส่วนว่าแยกแยะ ผู้ใช้ที่ถูกต้อง อย่างไรไม่ให้ถูกใส่เข้าไปในลูปสร้างความหงุดหงิด
    เขาบอกว่าการใช้ Akismet กันสแปมตอนสมัครใช้งานได้ผลในระดับหนึ่ง แต่หลบเลี่ยงได้ง่าย และสแปมเมอร์บางรายหาวิธีทำให้ดูเหมือนบล็อกปกติจนต้องค้นหาและทำเครื่องหมายด้วยมือ จากนั้นเมื่อพบสแปมก็สร้าง “Frustration Loop” เพื่อทำให้เสียเวลาและยอมแพ้
    แต่ในส่วนที่ว่าจะไม่ถูกทริกเกอร์กับผู้ใช้ปกติหรือไม่ มีเพียงบอกว่ารันมา 3 เดือนและมีผู้ใช้รายเดียวที่รายงานปัญหา โดยส่วนตัวผมว่านี่เป็นประเด็นที่น่าสนใจที่สุดในบทความ
    มาตรการที่ทำให้สแปมเมอร์หงุดหงิดนั้นเจ๋งก็จริง แต่ผมอยากเห็นเนื้อหาเพิ่มเติมเรื่อง การแยกสแปมเมอร์ออกจากผู้ใช้จริง, การวัด false positive และ false negative ผมเข้าใจว่ารายละเอียดการตรวจจับเปิดเผยได้ยาก และหัวข้อของบทความคือ Frustration Loop

    • จ่ายเงินให้ Akismet แล้วส่งข้อมูลการสมัครของผู้ใช้ไปให้ ใน GIF ของบทความจะเห็นได้ว่าส่งข้อมูลอะไรบ้าง
      ถ้า Akismet ตอบว่าเป็นสแปม ก็เปิดลูปสร้างความหงุดหงิด ผมว่าค่อนข้างฉลาดทีเดียว
    • Akismet ตรวจจับสแปมเมอร์ตั้งแต่ตอนสมัครด้วยหรือ? เท่าที่ผมรู้ ฟังก์ชันหลักคือ API ที่ตัดสินว่าคอมเมนต์ที่ให้มาเป็นสแปมหรือไม่
      https://akismet.com/developers/comment-check/
    • นั่นแหละประเด็น เหมือนว่าไม่มีใครอยากแก้ปัญหานี้จริง ๆ
      เพราะถ้าแก้แล้วก็มีแต่จะกระทบ metric กับรายได้ ตอนนี้ผมเลยคิดแบบนั้นไปแล้ว

  • วิธีป้องกันสแปมที่ได้ผลดีที่สุดในฟอร์มติดต่อทางอีเมลคือ ช่องกรอกข้อความที่ซ่อนอยู่ หลายช่องชื่อประมาณ “blindcopy”, “bcc”, “cc”, “additional address”
    ทุกช่องใส่ค่าเริ่มต้นไว้ และตัวจัดการการ submit จะปฏิเสธการส่งถ้าตรวจพบว่าค่าของช่องเหล่านี้เปลี่ยนไปจากค่าเริ่มต้น ผมคิดว่าไม่เคยได้รับอีเมลปลอมจากฟอร์มนั้นเลยสักฉบับ

    • สคริปต์สแปมฉลาดน้อยกว่านั้นมาก
      ผมใส่ช่องซ่อนที่ไม่มีข้อความไว้ช่องหนึ่งในฟอร์มติดต่อ และใส่ข้อความแนะนำเป็นคำเตือนสุภาพเพื่อ accessibility ถ้ามีอะไรถูกกรอกลงในช่องนั้นก็ทิ้งไปเงียบ ๆ และให้สำเนาเนื้อหาที่กรอกส่งมาหาผมด้วย ผมคิดว่าตลอดราว 8 ปีที่ฟอร์มนั้นออนไลน์อยู่ มีสแปมเมล 0 ฉบับ
    • เคยได้ยินว่าแนวคิดนี้เรียกว่า ฟิลด์ honeypot และอย่างที่ว่า มันใช้ได้ค่อนข้างดี
      แต่สงสัยว่าทำไม password manager หรือ autocomplete ถึงไม่ติดกับ มันตรวจจับได้หรือว่าฟิลด์นั้นมองไม่เห็น?
    • Hacker News ก็ใช้แบบนี้ไม่ใช่หรือ? ในหน้า login มี ช่อง input ที่ซ่อนอยู่
    • ผมก็ทำเหมือนกัน และได้ผลดีมากจริง ๆ

  • มีการสุ่มตัวอย่างคอนเทนต์ที่ผู้ใช้ในกลุ่ม “หงุดหงิด” ใส่เข้ามาเพื่อตรวจว่าจริง ๆ แล้วเป็นผู้ใช้ปกติไหม? มี อัตรา false positive และ false negative ไหม? ได้ดูด้วยหรือเปล่าว่าจำนวนการสมัครปกติโดยรวมลดลงหรือเพิ่มขึ้น?
    วิธีแบบนี้ไม่ได้มีแค่เจ้าเดียวที่ใช้ หลายหน้าเมื่อใช้ VPN จะล้มเหลวแบบเงียบ ๆ แต่น่าหงุดหงิด โดยไม่แสดงข้อผิดพลาดด้วยซ้ำ พอปิด VPN ทุกอย่างก็กลับมาใช้งานได้เหมือนมีเวทมนตร์ Etsy ก็เคยคืนหน้าเปล่าเมื่อใช้ VPN อยู่ช่วงหนึ่ง ซึ่งน่าหงุดหงิดสุด ๆ

  • Instagram มีลูปความหงุดหงิดอยู่ ผมรู้เพราะมันเกิดกับบัญชีของผมเอง
    ไม่ว่าผมจะทำอะไร ทุกการกระทำแม้จะเล็กน้อยแค่ไหน มันก็ทำให้ต้องล็อกอินใหม่เสมอ จะคลิกลิงก์เดียวหรือทำอะไรก็ตาม ทุกครั้งต้องผ่านหน้าจอล็อกอิน
    ตอนแรกเริ่มจากข้อความว่า “ตรวจพบกิจกรรมน่าสงสัยในบัญชี” แล้วต่อมาก็ขึ้นว่า “บัญชีถูกปิดใช้งาน” ไม่ได้บอกเหตุผลจริง ๆ แต่เหตุผลที่เป็นไปได้ตามกฎอย่างเป็นทางการมีแค่ว่าโพสต์เนื้อหาที่ทำให้ใครบางคนไม่พอใจ
    แต่คำอธิบายนั้นมีปัญหาอยู่ ผมไม่เคยโพสต์อะไรเลย สิ่งเดียวที่ผมทำบน Instagram คือการติดตามคนไม่กี่คน ผมผ่านทั้งการใส่โค้ดและส่งรูปตัวเองจนได้สิทธิ์เข้าถึงบัญชีกลับมาแล้ว แต่ตอนนี้ไม่ว่าจะทำอะไร ก็ต้องล็อกอินใหม่ทุกครั้ง ยากที่จะเชื่อว่านี่เป็นเรื่องบังเอิญหรือบั๊ก และดูเหมือนว่าพวกเขาระบุว่าผมเป็นบุคคลมีปัญหาอย่างชัดเจน แต่ไม่มีหลักฐานพอจะ “ประหาร” จึงลงโทษผมจากการละเมิดในจินตนาการแทน
    สาเหตุน่าจะเป็นเพราะบางครั้งผมตามลิงก์รูป Instagram เข้าไป อีกปัญหาคือมันเป็นส่วนหนึ่งของ Meta ถ้าปิด Instagram ไปเลย ผมก็จะเสียสิทธิ์เข้าถึง บัญชี Facebook ที่ใช้ติดต่อกับเพื่อนที่อยู่ไกลไม่กี่คนด้วย
    โลกได้ย้ายออกจาก Facebook ไปแล้ว และตอนนี้ทุกคนอยู่บน Instagram ผมก็คงเป็นแบบนั้นเหมือนกัน ถ้าเพียงแต่ Instagram อนุญาต

    • ดูเหมือนจะถูกระบุว่าเป็นครอว์เลอร์หรือสเครเปอร์ พวกเขาคงไม่อยากให้เกิดเหตุการณ์แบบ Cambridge Analytica อีกครั้ง

  • เห็นมีคนบอกว่าการตรวจจับสแปมคือสงครามความคิดสร้างสรรค์ระหว่างสแปมเมอร์กับผู้ตรวจจับ ซึ่งถ้าเป็น Akismet ก็อาจจะถูก แต่ถ้าเป็นเว็บไซต์ที่เป็นที่ให้สแปมเมอร์มารวมตัวกัน โครงสร้างแบบนั้นก็ไม่ใช่อีกต่อไป
    นี่คือการแข่งขันระหว่างบล็อก/เว็บไซต์ของผมกับบล็อก/เว็บไซต์อื่น ๆ ถ้าของผมป้องกันได้ดีกว่าเพื่อนบ้าน สแปมเมอร์ก็จะไปหาเพื่อนบ้านแทน โดยเฉพาะอย่างยิ่งในกรณีที่ต้องกัน คลิกฟาร์ม ไม่ใช่บ็อต
    พูดแบบติดตลกคือ เวลาอยู่ในป่า คุณไม่จำเป็นต้องวิ่งเร็วกว่าหมี แค่ไม่เป็นคนที่ช้าที่สุดในกลุ่มก็พอ