Gmail veel spam

[enigma147]

Ik zie hier suggesties als 'catch-all' voorbij komen, en 'dan weet je wat er gehacked is'... Maar we lopen massaal voorbij aan de ieniemienie lettertjes in de algemene voorwaarden die iedereen ongelezen accepteert dat 90% van de websites waar jij je account registreert, je gegevens voor reclamedoeleinden mogen doorverkopen.

een Catch-all betekent ook dat mailtjes van pietje_puk@provider.nl en voor de zekerheid naar pietje-puk@provider.nl dan 2x binnenkomen bij je.
Daarbij is plus addressing tegenwoordig bijna altijd standaard beschikbaar, wat de noodzaak van catch-all eigenlijk alweer ondermijnt.

Dat is niet mijn ervaring.

Ik gebruik dit al zo'n twintig jaar (het eerste mailtje in mijn archief is van 2005) en elk jaar kan ik het aantal echte spam mailtjes dat ik ontvang op één, hoogstens twee handen tellen.

Zodra ik een spam mailtje ontvang op een emailadres log ik even in op mijn mailserver en voeg het adres als alias toe aan mijn vuilnisbak account. Dat account is uitgeschakeld en dus bounced dat mailtje. Mijn ervaring is dat het meestal niet lang duurt voordat de spam op dat emailadres verdwijnt. Dat kan ik zien omdat alle mail die naar vuilnisbak gestuurd wordt ook naar een spam-archief emailbox gaat.

Als extra maatregel heb ik mijn domeinen aangemeld op https://haveibeenpwned.com/ en zodra er een de emailadres van een van die domeinen opduikt in een hack krijg ik gelijk een mailtje van ze.

Plus adressering is ook allang niet meer foolproof, die worden tegenwoordig ook vaak omzeilt door spammers, ze filteren gewoon de plus codes eruit.

 

[Indicium]

Het probleem is dat heel veel bedrijven/instellingen leunen op een emailadres als identificatie van een gebruiker. (...)

Om deze inhoud te bekijken, hebben we jouw toestemming nodig om cookies van derden te gebruiken.
Voor meer gedetailleerde informatie, zie onze cookiespagina.

Accepteer cookies van derden

De relatie tussen AI en het PHP-lek

Talloze websites over de hele wereld gingen gisteren opeens offline. Reden: een lek bij PHP, een organisatie die programmeertaal levert.

Hackers zouden daardoor relatief eenvoudig kunnen toeslaan. Onder meer RTL Nieuws, DigiD en de Tweede Kamer namen het zekere voor het onzekere en haalden hun websites tijdelijk uit de lucht. Pas na het uitvoeren van een beveiligingsupdate kwamen die weer online.

Volgens cybersecurity-expert Pim Takkenberg gaan dit soort incidenten vaker voorkomen, en dat komt mede door AI. Toch heeft hij goede hoop dat we ons ertegen kunnen wapenen.

(...)

Bron: "De relatie tussen AI en het PHP-lek". [donderdag 22 oktober 2026].

Welke structuur heeft voor "Pietje Puk" een kleinere kans op spam?

A) een e-mailbox met (bijvoorbeeld) de inlognaam "Pkvha8w9bSpUUXXhjpQohxEQ1M2ImR(apenstaartje)gmail(punt)com" en een e-mailalias "pietjepuk(apenstaartje)domein(punt)topleveldomein"

B) het e-mailadres "pietjepuk(apenstaartje)gmail(punt)com" met gebruikmaking van het plusteken

 

[enigma147]

Om deze inhoud te bekijken, hebben we jouw toestemming nodig om cookies van derden te gebruiken.
Voor meer gedetailleerde informatie, zie onze cookiespagina.

Accepteer cookies van derden

Welke structuur heeft voor "Pietje Puk" een kleinere kans op spam?

A) een e-mailbox met (bijvoorbeeld) de inlognaam "Pkvha8w9bSpUUXXhjpQohxEQ1M2ImR(apenstaartje)gmail(punt)com" en een e-mailalias "pietjepuk(apenstaartje)domein(punt)topleveldomein"

B) het e-mailadres "pietjepuk(apenstaartje)gmail(punt)com" met gebruikmaking van het plusteken

Gelijk.

Een spammer komt aan zijn informatie door een database te kopen/huren. Die database komt bijvoorbeeld van een gehackte website. Zie die database als een tabel met diverse kolommen met verschillende soorten van data, waarvan er één van die kolommen het emailadres van de gebruiker bevat. Andere kolommen kunnen bijvoorbeeld namen, gebruikersnamen, telefoonnummers, leeftijden, paspoortnummers of adressen bevatten, maar ook seksuele geaardheid, of medische gegevens zijn mogelijk, afhankelijk waar die data vandaan komt.
Of daar in het kolommetje "emailadres" nu pietje@bladiebla staat of gw6r4elsh1x79pod3yq2tjucf+h1x79pod@bladiebla het blijft gewoon een email adres. Iedere spammer heeft een tooltje die automatisch elk emailadres scant op een + teken en als die tegenkomt dan filtert hij die extra karakters achter het plus tekens er gewoon uit, zodat hij het echte emailadres overhoud.

 

[Indicium]

Gelijk.

(...)

De kans, dat een bepaalde website wordt gehackt, is even groot.

De vraag had scherper geformuleerd moeten worden. In welk geval heeft een gebruiker na een hack meer last van spam?

Als een plusteken in een e-mailadres kan staan, dan kan je ongewenste e-mailberichten eenvoudig filteren. Als een spammer het plusteken en de extra tekens eruit haalt, dan wordt het natuurlijk een ander verhaal.

 

[Muchacho NL]

De kans, dat een bepaalde website wordt gehackt, is even groot.

De vraag had scherper geformuleerd moeten worden. In welk geval heeft een gebruiker na een hack meer last van spam?

Als een plusteken in een e-mailadres kan staan, dan kan je ongewenste e-mailberichten eenvoudig filteren. Als een spammer het plusteken en de extra tekens eruit haalt, dan wordt het natuurlijk een ander verhaal.

Dat maakt alsnog niet uit: de inlognaam wordt niet gebruikt om spam naartoe te sturen.
Die komt pas om de hoek kijken als ze jouw mailbox willen gebruiken om spam vanuit door te sturen...
Maar om het naartoe te sturen maakt het niet uit of er een catch-all adres of een plusadres in staat.

 

[bmwpiet]

Heb inmiddels een nieuw (Europees) mail adres gemaakt. (als betrouwbaar mailadres).
voorlopig gratis, met 1 GB opslag en 1 mail adres
kan 1 GB verdienen door auto forwarding met Gmail aan te zetten. Maar daar veschuif ik het spam probleem misschien mee.
Een oud mailadres ga ik het account van verwijderen, meer kunnen we niet.

 

[Aar]

Heb inmiddels een nieuw (Europees) mail adres gemaakt.
voorlopig gratis, met 1 GB opslag en 1 mail adres
kan 1 GB verdienen door auto forwarding met Gmail aan te zetten. Maar daar veschuif ik het spam probleem misschien mee.

Hopelijk met catch-all, zodat je meerdere unieke e-mailadressen kan aanmaken zoals bmwpiet+bolcom@emaildienst.com, bmwpiet+kpn@emaildienst.com, bmwpiet+helpmij@emaildienst.com etc....

Dan weet je na een datalek waar een spam-mail vandaan komt.

 

[enigma147]

Hopelijk met catch-all, zodat je meerdere unieke e-mailadressen kan aanmaken zoals bmwpiet+bolcom@emaildienst.com, bmwpiet+kpn@emaildienst.com, bmwpiet+helpmij@emaildienst.com etc....

Dan weet je na een datalek waar een spam-mail vandaan komt.

Wat je beschrijft met die emailadressen met een + erin is geen Catch-All.

Catch-all is een mailserver instelling, waarbij je in de mail server opgeeft dat alle mail die niet zijn eigen mailbox heeft in één specifieke mailbox terecht komt, in plaats van te weigeren. Op die manier kan je heel simpel Helpmij@jedomein, bank@mijndomein en ook wuppie187@mijndomein gebruiken, omdat het allemaal in dezelfde verzamel email box terecht komt.

De + handigheid hangt ook af van de mailserver, maar is een stuk minder effectief voor spam omdat de ingevoerde email adres met een plus erin ook je originele emailadres bevat en heel gemakkelijk eruit te filteren is. Email met + toevoeging is meer voor organisatorisch gemak, je kan op die manier mail van je bank zoeken of via een regel in je mailprogramma meteen in een aparte map laten zetten.

Voor Catch-All heb je een eigen domein nodig, terwijl voor + emailadressen is dat niet nodig is, de mailserver hoeft slechts die mogelijkheid ondersteunen.

Heb inmiddels een nieuw (Europees) mail adres gemaakt. (als betrouwbaar mailadres).
voorlopig gratis, met 1 GB opslag en 1 mail adres
kan 1 GB verdienen door auto forwarding met Gmail aan te zetten. Maar daar veschuif ik het spam probleem misschien mee.
Een oud mailadres ga ik het account van verwijderen, meer kunnen we niet.

Oude emailadressen nooit verwijderen. Zet alle accounts over naar het nieuwe adres, maar laat de oude bestaan. Check één keer per week of er toch niets belangrijks tussen staat. Er zijn altijd mensen/diensten die je vergeet door te geven dat je een ander emailadres hebt.

Als je toch je mail gaat verhuizen, is het geen gek idee om een tweede emailadres te gaan gebruiken. Een gebruik je voor belangrijke dingen, als je bank, andere instellingen en werkgever. De tweede gebruik je voor minder belangrijke dingen als websites en webshops.

Zo blijft belangrijke mail, hopelijk, "clean".

 

[Aar]

Het komt in theorie wel over als een soort catch-all, maar in de praktijk klopt die naam niet.
Sub-adressering is een betere vertaling, maar vereist wat meer uitleg.

 

[Muchacho NL]

Het komt in theorie wel over als een soort catch-all, maar in de praktijk klopt die naam niet.
Sub-adressering is een betere vertaling, maar vereist wat meer uitleg.

De letterlijke term is "plus-adressering"... daar is geen andere vertaling voor nodig.
En nee, dat is (ook in theorie) écht niet hetzelfde als catch-all: bij plus-adressering moet de noemer bestaan als mailbox.

Als "muchacho_nl<at>domein.land" mijn standaard mail is, dan moet muchacho_nl op exact die manier voor de + staan in de plus-adressering. ("muchacho_nl+kpn<at>domein.land")
Anders krijg je alsnog een bounce melding als je bijvoorbeeld "muchako_nl+kpn<at>domein.land" gebruikt om naar te versturen.
Alléén bij Catch-All komt dat wél binnen in een verzamelbox die je moet aanduiden bij je mailprovider, evenals dat mails naar "macho_malo+kpn<at>domein.land" en "betwetertje_muchacho<at>domein.land" en "info<at>domein.land" binnenkomen, waar je bij plus-addressering een bounce van krijgt.
Als je er een tweede mailbox voor hebt is dat geen probleem, maar als je maar 1 mailbox mag aanmaken en je hebt ook catch-all aan staan, dan wordt het alsnog een bende in je inbox vanwege de praktijk om elk domein te controleren op MX-records en dan standaard te gaan mailen naar 'sales<at>', 'info<at>', 'order<at>' en ga zo maar door met een lijstje van gangbare bedrijfsmailadressen.

 

[Indicium]

(...)

Maar om het naartoe te sturen maakt het niet uit of er een catch-all adres of een plusadres in staat.

Als je een e-mailadres bij Alphabet Inc. wilt maken, dan gelden er een aantal voorwaarden.

* Je gebruikersnaam moet tussen 6 en 30 tekens lang zijn.
* U kunt alleen letters (a-z), cijfers (0-9) en punten (.) opgeven.
* De gebruikersnaam mag niet al worden gebruikt.
* Enzovoort.

Voor een gebruikersnaam van 6 tekens zijn er (afgezien van bepaalde voorwaarden) in theorie 2176782336 (36x36x36x36x36x36) mogelijkheden. Een punt of een plusteken in een gebruikersnaam maakt het aantal mogelijkheden niet groter. Het blijft bij Alphabet Inc. hetzelfde e-mailadres. De kans, dat je in de begintijd van Gmail een willekeurige gebruikersnaam in één keer goed raadde, is 1/2176782336.

Als een Gmail-adres in een gehackte database staat, dan heeft een hacker het e-mailadres. In dat geval is de gehackte website de zwakste schakel.

Als je toch een eigen domein hebt, kijk dan of je hosting provider de optie heeft voor een "Catch-all" email adres. Daarmee vang je alle email op die geen eigen email brievenbus heeft.

Het mooie van zo'n Catch-All email adres is dat je dan overal een apart emailadres kan gebruiken. (...)

Mocht je plotseling spam krijgen op een specifiek email adres, dan kan je simpel dat ene emailadres blokkeren. Je kan dan ook meteen zien welk bedrijf gehacked is.

(...)

In dat geval heeft een hacker na een succesvol uitgevoerde hack van een database uitsluitend de e-mailalias. Een alias kan je eenvoudig aanpassen. De route kan je wijzigen. Als het goed is, dan blijft de e-mailaccount voor een hacker onbekend.

Zie voor meer informatie over "Sub-addressing": "https://en.wikipedia.org/wiki/Email_address#Sub-addressing".

(...)

Dan weet je na een datalek waar een spam-mail vandaan komt.

Wat ga je met die informatie doen?

 

[Muchacho NL]

Als je een e-mailadres bij Alphabet Inc. wilt maken, dan gelden er een aantal voorwaarden.

* Je gebruikersnaam moet tussen 6 en 30 tekens lang zijn.
* U kunt alleen letters (a-z), cijfers (0-9) en punten (.) opgeven.
* De gebruikersnaam mag niet al worden gebruikt.
* Enzovoort.

Voor een gebruikersnaam van 6 tekens zijn er (afgezien van bepaalde voorwaarden) in theorie 2176782336 (36x36x36x36x36x36) mogelijkheden. Een punt of een plusteken in een gebruikersnaam maakt het aantal mogelijkheden niet groter. Het blijft bij Alphabet Inc. hetzelfde e-mailadres. De kans, dat je in de begintijd van Gmail een willekeurige gebruikersnaam in één keer goed raadde, is 1/2176782336.

Als een Gmail-adres in een gehackte database staat, dan heeft een hacker het e-mailadres. In dat geval is de gehackte website de zwakste schakel.

Dat is goed en wel, maar in bijna alle gevallen van POP3 of IMAP mailboxen staat het mailadres gelijk aan de gebruikersnaam.
Niet te verwarren met een gebruikersnaam om in je beheerdersportal te komen: je meldt jezelf altijd aan bij de mailserver op basis van email + wachtwoord om je mails te bekijken/versturen.

Bij Exchange en Gmail (misschien ook wel Yahoo) kan je 2FA instellen voor logins van nieuwe IP Adressen, maar verder is het open season als je niet weet dat je mailprovider de mogelijkheid biedt tot het gebruiken van een alias zodat je die voor alle registraties kunt opgeven.

Ja, ik ben daar de klos mee geweest: eigen domein met een simpele IMAP mailbox. Na tig jaar een keer hetzelfde wachtwoord gebruikt voor een simpel klant accountje, dat is ergens gelekt en zo zijn ze toch in mijn mailbox gekomen en via die manier 2FA van o.a. Epic Games en Nintendo omzeild.

Alles weer terug, gelukkig, en ondertussen overstap gemaakt naar Exchange Online via Microsoft, en dus een Authenticator App, en als herstel-mailadres mijn oude gmail account gebruikt waar óók 2FA via authenticator op staat. Herstel mailadres dáár van is weer mijn hoofd mailadres, zodat het naar elkaar wijst.
Als backup een Break The Glass accountje met hardware token op mijn eigen Microsoft tenant zodat ik daar altijd in kan middels password reset/authenticator reset.