In questo articolo Indice dei contenuti 2 sezioni
Mandare dati riservati a indirizzi noreply sembra la cosa più innocua del mondo, e invece è esattamente il punto in cui centinaia di migliaia di email hanno preso la strada sbagliata. Quasi 438.000 messaggi, tra credenziali, documenti aziendali e informazioni personali, sono finiti nella casella di un ricercatore di sicurezza per un motivo banale quanto imbarazzante: i sistemi che li spedivano usavano domini esterni scelti come destinazioni finte, salvo che quei domini un proprietario ce l’avevano davvero. E ricevevano posta senza problemi.
Il protagonista della vicenda è Cory Solovewicz, che aveva registrato noreply.us nel 2020 e noreply.net nel 2024, all’inizio per gestire la propria corrispondenza, filtrare i messaggi e proteggere un po’ meglio la privacy. Aveva attivato una configurazione catch all, quella che raccoglie tutto ciò che arriva a qualsiasi indirizzo del dominio, indipendentemente da cosa venga scritto prima della chiocciola. Poco dopo hanno iniziato a piovere comunicazioni di aziende e organizzazioni con cui non aveva alcun rapporto.
Quando il dominio noreply esiste per davvero
Nel mucchio ci sono rapporti sugli infortuni inviati da un’amministrazione cittadina, conferme di ordini di pizza, richieste di riparazione, credenziali per piattaforme di test, messaggi per configurare account su un servizio scolastico. Roba generata in automatico dai sistemi aziendali, non scritta a mano da qualcuno distratto. Il problema sta nel fatto che un indirizzo del tipo nomeazienda@noreply.net viene trattato da molte organizzazioni come una destinazione inesistente, quando invece è perfettamente raggiungibile. La parola noreply dentro il dominio non blocca nulla, è solo una parola.
Una spiegazione plausibile riguarda la gestione degli account disattivati. Quando un dipendente lascia l’azienda o un utente cancella il profilo, il suo indirizzo può venire sostituito con un recapito segnaposto. Se le notifiche restano accese, i messaggi continuano a partire e finiscono a chi possiede quel dominio. Resta una delle ipotesi, non una procedura accertata per tutte le email raccolte.
I numeri presentati al Def Con rendono l’idea della mole di dati esposti. Solo noreply.net ha incassato 401.796 messaggi da dicembre 2024, quasi 700 al giorno di media, e 28.365 avevano allegati. Su noreply.us sono arrivate altre 37.255 email. In totale i mittenti superano i 14.000 indirizzi, riconducibili a circa 6.200 domini principali.
Il caso deleteduser.com e le immagini dalle telecamere
Storia parallela quella di Mike Sheward, responsabile della sicurezza di Xeal, azienda che si occupa di ricarica per veicoli elettrici. Ha comprato deleteduser.com per circa 13 euro e nella prima ora aveva già ricevuto messaggi da tre organizzazioni diverse. Sui vari domini che possiede sono poi arrivate migliaia di email da almeno un centinaio di realtà, comprese società di cybersecurity e alcuni partner Microsoft.
L’elenco fa quasi sorridere, se non fosse per il contenuto: conferme di ordini di Viagra, richieste di approvazione di ferie e assenze, prenotazioni alberghiere con nome e cognome degli ospiti, inviti a riunioni Zoom di un’agenzia governativa britannica. C’era anche l’invito al barbecue estivo di un’azienda di San Francisco, indirizzato a un generico “Dear Deleted User”. Il caso più delicato riguarda invece una società che usa il riconoscimento degli oggetti basato su AI per individuare violazioni delle procedure di sicurezza nei siti industriali del Medio Oriente. Sheward ha riferito di aver ricevuto migliaia di immagini estratte dalle telecamere di sorveglianza.
Lavorando separatamente, i due hanno acquistato oltre 30 domini, anche per evitare che finiscano nelle mani di qualcuno con intenzioni peggiori. Solovewicz ha poi costruito uno strumento per capire quanti altri domini segnaposto siano configurati per ricevere posta: su 7.136 esaminati, 328 avevano caselle catch all. Non significa che stiano incassando informazioni riservate, ma indica quante porte restino aperte.
Entrambi provano ad avvertire le organizzazioni coinvolte senza esporne i nomi. Alcune hanno corretto la configurazione senza nemmeno rispondere, molte altre hanno ignorato le segnalazioni. Per Solovewicz, seguire ogni singolo caso sarebbe già un lavoro a tempo pieno. La questione era emersa quasi vent’anni fa attorno a donotreply.com. Per gli indirizzi finti esistono strade sicure, come i domini interni sotto il proprio controllo oppure il suffisso riservato .invalid, pensato per nomi che non devono risolversi nel DNS. Usare un dominio esterno senza controllarne proprietà e configurazione vuol dire spedire dati a chiunque lo abbia registrato.
