Oct 16, 2026

Xử lý tài khoản SMTP bị chiếm quyền gửi spam trên Postfix

Bối cảnh

Một tài khoản SMTP có thể bị lộ thông tin đăng nhập và bị kẻ xấu sử dụng để gửi lượng lớn email. Hậu quả có thể gồm mail queue tăng cao, IP bị đưa vào blacklist và email hợp lệ bị từ chối.

Triệu chứng cần kiểm tra

Lưu lượng gửi email tăng bất thường.
Log xác thực SMTP xuất hiện địa chỉ IP hoặc thời điểm đáng ngờ.
Hàng đợi Postfix có nhiều thư gửi đến người nhận không liên quan.
Nhà cung cấp hoặc tổ chức chống spam thông báo lạm dụng.

Quy trình ứng phó

Giảm thiểu rủi ro: khóa hoặc đổi thông tin xác thực của tài khoản nghi bị lộ; cân nhắc giới hạn gửi tạm thời.
Bảo toàn bằng chứng: lưu log liên quan trước khi xoay vòng hoặc xóa log.
Điều tra: đối chiếu thời gian đăng nhập, IP nguồn, sender, recipient và ID của message.
Kiểm tra relay: xác minh máy chủ không trở thành open relay và chỉ cho phép gửi theo chính sách dự kiến.
Rà soát tài khoản: kiểm tra các tài khoản SMTP khác, mật khẩu dùng lại, ứng dụng và thiết bị có lưu credential.
Xử lý queue: phân biệt thư hợp lệ với thư độc hại trước khi xóa hoặc giữ lại; tránh xóa hàng loạt khi chưa xác minh.
Theo dõi sau xử lý: giám sát xác thực SMTP, lượng thư gửi, queue và phản hồi từ hệ thống nhận thư.

Những gì cần ghi lại

Mốc thời gian bắt đầu/kết thúc sự cố.
Dấu hiệu xác định tài khoản bị lạm dụng.
Biện pháp đã thực hiện và người chịu trách nhiệm.
Kết quả kiểm tra relay và giám sát sau khắc phục.

Checklist trước khi kết thúc sự cố

Đã đổi credential bị ảnh hưởng và rà soát nơi lưu credential.
Không còn phiên gửi bất thường.
Mail queue đã được phân loại.
Không có dấu hiệu open relay.
Đã kiểm tra các tài khoản và dịch vụ liên quan.
Đã thiết lập giám sát và lưu hồ sơ sự cố.

Kết luận

Không nên chỉ đổi mật khẩu rồi coi sự cố đã kết thúc. Cần xác minh đường xâm nhập, kiểm tra relay, xử lý queue cẩn trọng và theo dõi hoạt động gửi thư sau khắc phục.

Trước khi đăng, bổ sung lệnh và ví dụ log phù hợp với phiên bản Postfix thực tế; che địa chỉ IP, email và thông tin định danh nhạy cảm.