In questo articolo Indice dei contenuti 3 sezioni
Gli indirizzi email che finiscono con noreply vengono trattati da mezzo mondo come un cestino automatico, un posto dove i messaggi svaniscono senza lasciare traccia. Non è così. Cory Solovewicz, ricercatore di sicurezza informatica, riceve in media 700 email al giorno per un motivo semplice: nel 2020 ha comprato il dominio noreply.us e nel 2024 ha aggiunto noreply.net. Da quel momento la sua casella si è trasformata in un archivio involontario di comunicazioni aziendali, dati personali e documenti che nessuno avrebbe voluto spedirgli.
Non si tratta di spam, e questa è la parte interessante. A scrivergli sono aziende, enti pubblici, piattaforme di ogni genere, tutti convinti di parlare al vuoto. Tra i messaggi arrivati ci sono rapporti sugli infortuni inviati da un’amministrazione comunale, conferme di ordini di pizza, richieste di assistenza, credenziali per piattaforme di test ed email per configurare account su una piattaforma scolastica. Solo noreply.net, da dicembre 2024, ha raccolto 401.796 messaggi. Sommando anche noreply.us si arriva a quasi 438 mila email, partite da oltre 14 mila indirizzi collegati a più di 6.200 domini diversi.
Perché una configurazione catch-all raccoglie tutto
Il meccanismo tecnico è banale. Solovewicz ha impostato i suoi domini in modalità catch-all, cioè un sistema che intercetta qualunque messaggio destinato a un indirizzo che termini con @noreply.us o @noreply.net, indipendentemente da cosa ci sia prima della chiocciola. Ma la responsabilità non è sua: sono i sistemi delle aziende a spedire posta verso domini che non possiedono, dando per scontato che siano fittizi.
Le cause si somigliano tutte. Un gestionale invia una notifica automatica a un indirizzo come azienda@noreply.net, considerandolo inesistente. Oppure, quando un utente cancella il profilo o un dipendente lascia l’ufficio, invece di rimuovere o anonimizzare correttamente il contatto qualcuno si limita a cambiare il dominio. L’esempio è quasi comico: paolino.paperino@azienda.it diventa paolino.paperino@noreply.net, il campo resta pieno, i sistemi continuano a mandare notifiche e le email finiscono dritte a un estraneo. Non tutti i messaggi ricevuti dal ricercatore nascono così, ma il meccanismo è ormai documentato.
Un problema vecchio di quasi vent’anni
La storia si ripete. Nel 2008 Brian Krebs, allora giornalista del Washington Post, raccontò il caso di Chet Faliszek, proprietario dal 2000 di donotreply.com: milioni di messaggi ricevuti, comprese informazioni finanziarie, dati su vulnerabilità informatiche e documenti aziendali. Più di recente l’esperto di sicurezza informatica Mike Sheward ha speso circa 13 euro per registrare deleteduser.com. Nel giro di un’ora avevano già scritto tre organizzazioni. Poi sono diventate migliaia di email, con un centinaio di enti coinvolti, tra cui aziende del settore sicurezza e alcuni partner di Microsoft. Un paio di settimane prima del suo racconto era arrivato anche l’invito al barbecue estivo di un’azienda di San Francisco, indirizzato a “Gentile Utente Eliminato”.
Ogni volta che riceve materiale sensibile, Solovewicz prova ad avvisare chi lo ha spedito, spiegando l’errore di configurazione e i rischi di fughe di dati. In diversi casi i sistemi sono stati corretti senza nemmeno una risposta, molti altri enti hanno ignorato la segnalazione. «Non mi ero reso conto che questo problema si sarebbe rivelato così grave», ha detto durante il Def Con, senza rivelare i nomi delle realtà coinvolte. «Voglio solo che le aziende e le organizzazioni facciano la cosa giusta, che verifichino i propri sistemi e che risolvano i problemi».
Domini comprati per difesa e la soluzione già disponibile
Solovewicz e Sheward, ognuno per conto proprio, hanno registrato una trentina di domini simili, così da togliere terreno a chi potrebbe sfruttarli per raccogliere informazioni riservate e usarle per estorsioni. Il ricercatore ha anche messo a punto un sistema per stimare quanti domini abbiano una configurazione capace di intercettare posta di questo tipo. «Non so dire con precisione quanto sia grave il problema, ma temo che ciò che ho scoperto accidentalmente durante la registrazione del mio dominio sia solo la punta dell’iceberg». Sul piano tecnico la strada è già tracciata: usare domini interni sotto il proprio controllo oppure il dominio riservato .invalid, nato esattamente per indicare indirizzi che non devono esistere. E mai dare per scontato che un dominio non controllato sia senza proprietario o che nessuno legga la posta spedita a quell’indirizzo.
