Quando a entregabilidade de e-mails despenca sem aviso, a maioria dos remetentes presume que foi flagrada como spammer. A Composite Blocking List — quase sempre abreviada como CBL — conta uma história diferente e bem mais alarmante. Uma listagem na blacklist CBL raramente significa que você enviou spam deliberadamente; significa que uma máquina na sua rede ou por trás do seu IP foi sequestrada e está emitindo o tráfego automatizado e gerado por malware que botnets e servidores comprometidos produzem. É um alarme de segurança fantasiado de problema de entregabilidade. Veja o que a CBL detecta, por que um IP corporativo aparentemente limpo é listado, como ela alimenta o Spamhaus e como encontrar a origem e fazer a remoção.
A resposta curta#
A CBL é uma blocklist gerada automaticamente de endereços de IP observados enviando tráfego característico de máquinas infectadas ou abusadas — comunicação de botnet, spam gerado por malware, proxies abertos e relays abertos. Ela é populada inteiramente por detecção automática, sem nenhum julgamento humano do tipo "isto parece uma operação de spam". Seus dados são a fonte por trás do Spamhaus XBL (Exploits Block List), então uma listagem na CBL quase sempre aparece também como um acerto na XBL — e a XBL é consultada por uma grande fatia dos servidores de e-mail do mundo por meio das zonas combinadas do Spamhaus. Remover uma listagem significa primeiro encontrar e corrigir o dispositivo comprometido ou a configuração incorreta, e só então solicitar a remoção autônoma.
O que a blacklist CBL realmente detecta#
A maioria das blocklists é construída em torno de um julgamento sobre intenção: este remetente comprou uma lista, esta operação faz snowshoe spam, este domínio aparece em mensagens de lixo. A CBL funciona de forma diferente. Ela não se importa com quem você é ou se o seu marketing é legítimo — ela observa as impressões digitais comportamentais de uma máquina que foi tomada. Quando um IP começa a produzir essas assinaturas, ele é listado, por mais idônea que seja a empresa por trás dele.
Os tipos de tráfego que disparam uma listagem na CBL incluem:
- Atividade de botnet — um IP participando de uma botnet, contatando servidores de comando e controle ou disparando e-mails em um cronograma que nenhum humano definiu.
- Spam gerado por malware — e-mails gerados por um vírus, worm ou trojan rodando em um host infectado, em vez de por uma pessoa ou por uma plataforma de envio.
- Proxies abertos — um proxy deixado aberto para a internet, pelo qual qualquer pessoa, em qualquer lugar, pode rotear tráfego abusivo.
- Relays abertos e servidores de e-mail mal configurados — um servidor SMTP que aceita e encaminha e-mails de remetentes que deveria rejeitar, na prática emprestando o seu IP a estranhos.
O fio condutor é que esses são problemas gerados por máquina. Uma listagem na CBL está avisando que algo no seu IP está se comportando como se não estivesse mais sob o controle do seu dono.
Como a CBL se relaciona com o Spamhaus XBL#
Se você leu nossa análise aprofundada sobre o Spamhaus, já conhece a XBL. A XBL é a Exploits Block List do Spamhaus — a zona que sinaliza máquinas sequestradas, hosts explorados, proxies abertos e dispositivos comprometidos enviando spam. O que muitos remetentes não percebem é que a CBL é a principal fonte de dados que alimenta essa zona. As duas são tão fortemente acopladas que, na prática, estar na CBL significa estar na XBL.
É esse acoplamento que torna uma listagem na CBL algo consequente, em vez de obscuro. A XBL faz parte da zona combinada ZEN do Spamhaus, que a maioria dos receptores consulta para filtragem de IPs de entrada — então uma listagem na CBL entra de carona em uma consulta que provedores de caixa postal, ISPs e appliances de filtragem no mundo todo já realizam em cada mensagem. E-mails de um IP listado na CBL podem ser rejeitados ou filtrados em uma ampla fatia do seu público, muitas vezes em questão de horas e sem qualquer notificação.
Por que um IP corporativo limpo acaba na CBL#
A parte confusa é que o IP listado geralmente pertence a uma organização que nunca enviou conscientemente uma única mensagem de spam. A CBL sinaliza o IP que emitiu o tráfego, e em uma rede moderna esse IP costuma ser um gateway compartilhado situado na frente de dezenas ou centenas de dispositivos. Um gateway NAT faz com que um escritório inteiro pareça um único endereço para o mundo externo, de modo que um único notebook comprometido pode fazer com que o IP público de todo o prédio seja listado.
| Origem provável | O que está realmente acontecendo | Onde procurar |
|---|---|---|
| Estação de trabalho infectada por trás do NAT | Um notebook ou desktop pegou um malware e está enviando spam ou tráfego de botnet diretamente pela porta 25. Para a internet, ele veste o IP público compartilhado do escritório. | Todo dispositivo que compartilha aquele IP de saída — não apenas servidores. |
| Site ou CMS comprometido | Um CMS, plugin ou aplicação web desatualizado foi explorado e agora está enviando spam a partir do servidor de hospedagem. | Seu servidor web, sua fila de e-mails e arquivos modificados recentemente. |
| Relay aberto ou proxy aberto | Um servidor de e-mail ou proxy aceita tráfego de remetentes que deveria rejeitar, de modo que estranhos roteiam abuso através do seu IP. | Regras de relay SMTP e configuração de proxy em qualquer host voltado para a internet. |
| Conta de e-mail ou credenciais sequestradas | Um login vazado ou quebrado por força bruta permite que um atacante envie spam autenticado através do seu servidor de e-mail legítimo. | Logs de autenticação, volumes de envio incomuns e higiene de senhas. |
| Dispositivo IoT ou embarcado | Uma câmera, impressora, roteador ou outro dispositivo com firmware fraco entrou em uma botnet e está gerando tráfego a partir da sua rede. | Qualquer coisa conectada que não seja uma estação de trabalho ou servidor normal. |
Repare no que nenhum desses casos é: uma campanha de marketing que gerou reclamações, uma lista desatualizada ou um lote de endereços mortos. Essas falhas de higiene colocam você em outras listas — as que estão ligadas à reputação do remetente e às spam traps. A CBL é um bicho diferente, e exige uma resposta diferente.
Uma listagem na CBL é um problema de segurança, não apenas de reputação#
Essa é a mudança de mentalidade que separa uma listagem na CBL da maioria dos problemas de entregabilidade. Quando você aparece em uma lista baseada em reputação, o pior caso é perder e-mails. Quando você aparece na CBL, o problema de e-mail é a menor das suas preocupações: algo na sua infraestrutura está executando código que você não autorizou — e esse mesmo comprometimento pode estar exfiltrando dados, coletando credenciais ou esperando a próxima instrução de um controlador de botnet.
Então, por mais tentador que seja correr para o botão de remoção, a atitude certa é escalar o caso como o evento de segurança que ele é. A boa notícia: a investigação que limpa a listagem — encontrar a máquina que emite o tráfego malicioso — é exatamente a investigação que contém a violação. Corrigir uma corrige a outra.
Como encontrar a origem infectada#
Como o IP listado costuma ser um gateway compartilhado, a caçada consiste em identificar o único dispositivo por trás dele que está se comportando mal. Uma ordem prática de operações:
- Confirme qual IP está listado e o que ele representa. Passe o endereço pela consulta do Spamhaus ou da CBL e observe se é um servidor de e-mail, um servidor web ou o gateway NAT de todo um escritório. Isso indica a amplitude da busca.
- Analise o tráfego de saída na porta 25. Malware e botnets geralmente enviam e-mails diretamente, em vez de passar pelo seu servidor de e-mail real. Fique atento a dispositivos internos fazendo conexões SMTP de saída que não sejam o seu host de e-mail legítimo — muitas vezes essa é a maneira mais rápida de identificar o culpado.
- Escaneie todos os dispositivos que compartilham o IP. Rode um antimalware atualizado em estações de trabalho, servidores e qualquer outra coisa naquele endereço de saída. Não pare nos servidores óbvios — o host infectado é frequentemente um notebook comum ou um dispositivo IoT esquecido.
- Audite aplicações web e instalações de CMS. Se um servidor de hospedagem ou web estiver listado, verifique se há software desatualizado, scripts inesperados, arquivos desconhecidos e uma fila de e-mails acumulada — a marca registrada de um site comprometido enviando spam.
- Verifique a configuração do servidor de e-mail. Confirme que o servidor não está agindo como um relay aberto e que nenhum proxy está aberto para o mundo. Revise os logs de autenticação em busca de contas sequestradas e volumes de envio anormais.
Se a sua infraestrutura de e-mail roda em um IP compartilhado, coordene com o seu provedor — o comprometimento de outro inquilino pode listar um endereço que você compartilha. Entender os tradeoffs de IPs dedicados versus compartilhados ajuda você a decidir se vale a pena isolar o seu envio.
Como fazer a autoexclusão da CBL#
A CBL oferece remoção autônoma, e ela é deliberadamente simples — mas a ordem das operações é tudo. Siga a mesma disciplina que rege toda remoção de blacklist:
- Remedeie primeiro. Limpe ou coloque em quarentena o dispositivo infectado, aplique patches na aplicação explorada, feche o relay ou proxy aberto e redefina quaisquer credenciais comprometidas. Confirme que o tráfego abusivo realmente parou. A CBL relistará um IP se o comportamento continuar, então um pedido de remoção antes da correção é esforço desperdiçado.
- Solicite a remoção. Use a consulta da CBL/Spamhaus para o seu IP e siga o caminho de remoção autônoma. Como a CBL é automatizada, a remoção costuma ser rápida assim que o sinal subjacente desaparece — você está informando a um sistema automatizado que o problema foi resolvido.
- Fique atento a uma relistagem. Se o endereço reaparecer logo em seguida, é porque você não encontrou toda a origem. Volte à investigação; provavelmente há um segundo dispositivo infectado, ou o malware se reinstalou. Confirme que você está genuinamente limpo antes de presumir que o incidente foi encerrado.
A remoção não é a linha de chegada — uma rede limpa e não comprometida é. Se você não tem certeza se a listagem realmente foi resolvida, nosso guia sobre como verificar se você está na blacklist explica como conferir um IP nas principais listas.
Detecte uma listagem na CBL antes que ela custe caro#
A CBL não dá nenhum aviso. Quando a entregabilidade despenca de um penhasco, a máquina comprometida pode já estar rodando há dias — e quanto mais tempo ela roda, mais dano causa tanto na frente de segurança quanto na de reputação. A maneira confiável de ficar sabendo a tempo é o monitoramento contínuo de blacklists, que observa seus IPs e domínios em relação à CBL, ao Spamhaus e a outras grandes listas e alerta você no momento em que uma listagem aparece, para que você possa começar a investigação enquanto ela ainda importa.
Perguntas frequentes#
O que é a blacklist CBL?#
A Composite Blocking List (CBL) é uma blocklist DNS gerada automaticamente de endereços de IP flagrados enviando tráfego característico de máquinas infectadas ou abusadas — atividade de botnet, spam gerado por malware, proxies abertos e relays abertos. Diferentemente de listas que sinalizam spammers deliberados após revisão humana, a CBL é populada puramente pela detecção automática desse comportamento abusivo. Seus dados são a fonte por trás do Spamhaus XBL, então uma listagem na CBL normalmente significa que seus e-mails estão sendo filtrados em qualquer lugar onde o Spamhaus é usado.
Por que meu IP está na CBL se eu nunca enviei spam?#
Porque a CBL lista o IP que emitiu o tráfego, e na maioria das redes esse IP é compartilhado por muitos dispositivos por trás de um gateway NAT. Um único notebook infectado, um site comprometido, um relay aberto ou um dispositivo IoT sequestrado pode fazer com que o IP público de toda a sua rede seja listado. A listagem não está acusando você de enviar spam de propósito — ela está avisando que algo na sua infraestrutura foi comprometido e está enviando tráfego abusivo por conta própria.
A CBL é a mesma coisa que o Spamhaus XBL?#
Elas não são idênticas, mas estão fortemente ligadas: a CBL é a principal fonte de dados que alimenta o Spamhaus XBL (Exploits Block List). Na prática, se você está na CBL, quase sempre aparecerá também na XBL, e a XBL faz parte da zona combinada ZEN do Spamhaus, que a maioria dos receptores consulta. É esse acoplamento que faz uma listagem na CBL ter um impacto tão amplo, apesar de a CBL ser uma lista especializada e automatizada.
Como faço para ser removido da CBL?#
Corrija primeiro o comprometimento subjacente — limpe ou coloque em quarentena o dispositivo infectado, aplique patches na aplicação explorada, feche qualquer relay ou proxy aberto e redefina credenciais comprometidas — e confirme que o tráfego malicioso parou. Depois, use a consulta da CBL ou do Spamhaus para o seu IP e siga o caminho de remoção autônoma; a remoção costuma ser rápida assim que o sinal desaparece. Se o endereço for relistado, é porque você não encontrou toda a origem, então volte à investigação antes de tentar de novo.
Uma listagem na CBL é um incidente de segurança antes de ser um de entregabilidade, e ela não dá nenhum aviso. O monitoramento de blacklists da Qualisend observa seus domínios e IPs em relação à CBL, ao Spamhaus XBL e a outras grandes listas continuamente e alerta você no momento em que algo muda, para que você possa encontrar a origem comprometida antes que ela lhe custe a caixa de entrada. Combine-o com uma verificação gratuita de blacklist e e-mail para ver onde o seu envio está agora mesmo.
