В конце 2024 года спам составлял почти половину мирового почтового трафика — 47,27%. Подобные рассылки съедают ресурсы серверов, скрывают мошеннические схемы и обходятся бизнесу потерянными часами продуктивности. Технические фильтры помогают, но не решают проблему. Разбираемся, как правительства десятилетиями выстраивали вокруг спама правовую базу.

Откуда взялся спам: от телеграфа до ARPANET

Первые массовые незапрошенные сообщения появились задолго до интернета. В 1864 году британские политики получили рекламные телеграммы от дантистов — вероятно, первый задокументированный случай массовой рассылки по каналам связи. Но настоящая история цифрового спама начинается через век с небольшим.

3 мая 1978 года маркетолог компании Digital Equipment Corporation Гэри Туерк отправил рекламное письмо о новой линейке компьютеров 393 пользователям сети ARPANET — предшественницы современного интернета. Сообщение разошлось без разрешения получателей и вызвало волну возмущения. Министерство обороны США, которое курировало ARPANET, вынесло Туерку официальный выговор. Сам он утверждал, что рассылка принесла компании около $13 млн продаж.

Само слово «спам» закрепилось в 1990-е годы — по скетчу британского комедийного шоу Monty Python, где официантка настойчиво предлагала блюда с консервированной ветчиной SPAM независимо от желания гостей (к слову, скетч возник не на пустом месте, после Второй мировой войны реклама со SPAM висела везде в большинстве капиталистических стран, ведь нужно было распродать армейские запасы). Когда интернет в начале 1990-х открылся для коммерческого использования, массовая рассылка стала простой технически и практически бесплатной.

К слову, в конце 90-х начала активно развиваться «капча» как способ в том числе бороться со спамом. 

К 2003 году, когда первые страны приняли специальные антиспам-законы, нежелательные письма составляли уже более половины мирового почтового трафика. Технические меры не успевали за ростом индустрии спама, нужно было правовое регулирование.

Первые попытки регулирования

До принятия единого федерального закона США превратились в полигон для экспериментов с антиспам-законодательством. К 2003 году 36 американских штатов приняли собственные нормы. Два из них, Калифорния и Невада, полностью запрещали нежелательные рассылки, обязывая получателей давать явное согласие. Остальные ограничивались требованием чёткой пометки в теме письма или запретом на маскировку отправителя.

В итоге спамеры просто регистрировали бизнес в штате с наименее строгими правилами или рассылали письма с серверов за рубежом. 

Европа в июле 2002 года приняла Директиву об электронных коммуникациях, которая установила принцип явного согласия для всех электронных маркетинговых сообщений. Не все страны сразу ее приняли, но это было началом. 

В целом Европейская модель (opt-in) исходит из того, что молчание означает отказ — компания не имеет права писать человеку, пока он явно не разрешил. Американская модель (opt-out) работала наоборот — рассылать можно всем, но получатель вправе отписаться. 

CAN-SPAM Act (США, 2003): первый федеральный закон

В декабре 2003 года Конгресс США принял Controlling the Assault of Non-Solicited Pornography and Marketing Act — сокращённо CAN-SPAM. Закон вступил в силу 1 января 2004 года и стал первым федеральным актом, регулирующим коммерческую электронную почту в стране. Одновременно он отменил действие всех 36 штатовских антиспам-законов, кроме тех, что касались мошенничества.

Ключевые требования закона:

1. Запрет на ложные или вводящие в заблуждение заголовки и строки «От кого»;

2. Запрет на обманные темы письма;

3. Обязательная пометка, что письмо является рекламой;

4. Физический почтовый адрес отправителя в каждом письме;

5. Механизм отписки (opt-out), который должен работать не менее 30 дней;

6. Немедленная обработка запросов на отписку — в течение 10 рабочих дней;

7. Запрет на продажу адресов тех, кто отписался.

Исполнение закона возложили на Федеральную торговую комиссию (FTC). Штрафы составляли до $16 000 за каждое нарушающее закон письмо, без потолка за систематические нарушения. Сейчас штраф зависит от множества факторов. 

Закон критиковали за то, что тот разрешал массовую рассылку при соблюдении формальных требований — то есть фактически легализовал спам, а не запрещал его. По принципу opt-out компании могут писать любому, кто не отписался. CAN-SPAM называли «законом за легальный спам». Объем нежелательной почты продолжил расти.

Волна антиспам-законодательства

2003-2004 годы стали периодом законодательного всплеска. Несколько крупных юрисдикций почти одновременно приняли собственные антиспам-нормы, часто с принципиально разными подходами к согласию пользователей.

Австралийский Spam Act 2003 вступил в силу в апреле 2004 года и закрепил принцип opt-in. Закон выстроен вокруг трёх требований: согласие получателя перед рассылкой, чёткая идентификация отправителя и работающий механизм отписки. Контролем занимается регулятор в сфере связи — ACMA (Australian Communications and Media Authority).

Канадский Canada’s Anti-Spam Legislation, известный как CASL, вступил в силу 1 июля 2014 года. Он считается наиболее жестким антиспам-законом среди развитых стран — штрафы достигают $1 млн для физических лиц и $10 млн для организаций.

На момент принятия CASL в Канаде работали 7 из 100 крупнейших мировых спамерских организаций. К 2019 году, по данным правительства Канады, их не осталось ни одной.

В ЕС Директиву 2002 года со временем должны были заменить новым Регламентом ЕС об ePrivacy. Его начали разрабатывать в 2017 году, но не смогли разрешить разногласия между странами-участницами и в итоге действует старый закон вместе с GDPR. 

Общий регламент о защите данных (GDPR) вступил в силу в мае 2018 года и формально не является антиспам-законом. Он регулирует обращение с персональными данными. Но поскольку любой email-адрес в ЕС — это персональные данные, GDPR фактически создал барьер против нежелательных рассылок. Компании обязаны иметь правовое основание для обработки адреса, а штрафы достигают €20 млн или 4% от глобального годового оборота.

Российское регулирование: как устроена система

В России специального закона о спаме нет. Вместо него действует сочетание нескольких законов. 

Статья 18 ФЗ-38 «О рекламе»

Базовая норма — статья 18 Федерального закона от 13 марта 2006 года № 38-ФЗ. По ней распространение рекламы через email, SMS, мессенджеры или звонки допускается только при наличии предварительного согласия абонента или адресата. Это принцип opt-in — как в Европе, а не в США.

Если рекламораспространитель не может доказать, что согласие было получено, реклама считается незаконной. При этом бремя доказательства лежит на отправителе. Любой получатель вправе в любой момент отозвать согласие, и рекламораспространитель обязан немедленно прекратить рассылку.

Статья 44.1 ФЗ-126 «О связи»

Федеральный закон от 7 июля 2003 года № 126-ФЗ регулирует рассылки непосредственно по сетям подвижной (мобильной) связи. Статья 44.1 с 2014 года требует от оператора связи прекратить рассылку, если абонент подает жалобу. При этом оператор обязан бесплатно передать рекламораспространителю требование прекратить рассылку.

ФЗ-152 «О персональных данных»

Сбор и хранение email-адресов и телефонных номеров для рассылок — это обработка персональных данных. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» требует получить отдельное согласие на обработку данных, назначить ответственного за их защиту и уведомить Роскомнадзор об операторской деятельности.

Контроль и штрафы

С апреля 2024 года в России действуют повышенные штрафы за рекламный спам:

• Должностные лица — от 40 000 до 100 000 рублей;

• Юридические лица — от 300 000 до 1 000 000 рублей;

• Банки, МФО и другие финансовые организации — от 600 000 до 1 600 000 рублей.

Штраф назначается за каждый доказанный факт незаконной рассылки отдельно.

По итогам 2025 года ФАС рассмотрела 26594 заявлений о нарушениях рекламного законодательства (19 789 в 2024 году), возбудила 3976 дел. 

Телефонный спам и мошеннические звонки с подменой номера контролирует Роскомнадзор через систему «Антифрод». В 2024 году система проанализировала около 158 млрд вызовов и заблокировала почти 606 млн звонков с подменных номеров.

Патенты против спама

Cisco, Microsoft и Google входят в число лидеров патентования в области защиты от спама — каждая компания выстраивает патентный портфель вокруг своих коммерческих продуктов. 

Cisco

Cisco в 2007 году приобрела IronPort Systems, получив вместе с ней технологию SenderBase — глобальную базу репутации IP-адресов, которая используется в продукте Cisco Secure Email. По официальным материалам, SenderBase обрабатывает более 30 млрд запросов в день от свыше 100 000 организаций.

Среди патентов: 

US11677758B2 — Минимизация потока данных между вычислительными инфраструктурами для обеспечения безопасности электронной почты. Описывает архитектуру, при которой из облачной почты извлекаются только метаданные (без тела письма) и направляются в платформу безопасности на другой инфраструктуре для анализа угроз. Это основа современного Cisco Secure Email Threat Defense, который анализирует письма без передачи их содержимого стороннему облаку.

US10764310B2 — Распределенные циклы обратной связи от источников данных об угрозах для распределенных систем машинного обучения. Патент описывает, как данные передаются распределённым ML-агентам на периметре сети, чтобы они адаптировали свои детекторы аномалий, в том числе почтовых. Механизм применяется Cisco Talos Intelligence в Cisco Secure Email.

US20160359888A1 — Система и метод присвоения рейтингов репутации хостингам. Разработка назначает репутационные оценки хостам на основе анализа их связей с заражёнными узлами — прямой аналог технологии SenderBase Reputation Score, которую Cisco официально описывает как ключевой инструмент блокировки спама на шлюзе.

US20250260714A1 — Системы и методы передачи и сканирования электронных сообщений. Заявка 2024 года. Описывает сканирование писем на стороне получателя с разделением оригинального контента и данных, добавленных в процессе передачи (заголовки, метки), для точного анализа угроз. 

Microsoft

Microsoft защищает от спама в продуктах Microsoft Defender for Office 365 (ранее — ATP) и через встроенные фильтры Exchange Online Protection (EOP). Компания запатентовала несколько поколений технологий — от распознавания репутации домена до ML-разметки (разметка данных для машинного обучения) писем без использования персональных данных.

Патенты Microsoft в области антиспама:

US7487217B2 — один из основополагающих патентов. Спам-фильтр оценивает репутацию домена и IP-адреса отправителя в совокупности с параметрами письма (размер, число получателей, время суток). 

US8028031B2 — патент описывает систему, которая разделяет отправителей на категории (добросовестные, смешанные, нежелательные) и для каждой применяет разный набор фильтров с разной агрессивностью. Принцип реализован в Microsoft 365 Anti-spam policies, где можно настраивать уровни строгости для разных типов отправителей.

US20120131107A1 — в разработке описан фильтр, который учитывает историю переписки между отправителем и получателем: если ранее они переписывались без инцидентов — применяется менее агрессивный уровень проверки. 

Google

Google фильтрует спам прежде всего в Gmail, где, по заявлениям компании, блокируется более 99,9% спама и фишинговых писем. Ключевые технологии — нейросетевая классификация, анализ сетевого трафика отправителей и переклассификация с учетом новых данных.

Патенты Google в области антиспама:

US7693945B1 — метод оценки спама через анализ сетевых характеристик трафика отправителя (объём, «пакетность» рассылки) и истории взаимодействий пользователя с отправителем, включая не только email, но и мессенджеры и файловые сервисы.

US8819142B1 — система переклассификации для писем, уже получивших оценку, при появлении новых данных (новые ключевые слова, изменение статуса отправителя). 

US8880611B1 — Детектор извлекает из тела письма элементы обратного адреса (почтовый адрес, город, штат, почтовый индекс) и анализирует их как признак спама — особенно характерного для массовых рекламных рассылок. 

Наша интересная статья по теме: Теория мертвого интернета: как конспирологи с 4chan предсказали власть ботов в киберпространстве

Итоги

За полвека спам превратился из курьёзного случая на ARPANET в индустрию, на борьбу с которой государства тратят законодательный ресурс уже третье десятилетие. Подходы расходятся: США, грубо говоря, легализовали спам с оговорками, большинство других стран запретили его по умолчанию. Россия выбрала европейскую модель — принцип обязательного предварительного согласия, который закреплен в законе с 2006 года и последовательно ужесточается.