Quasi 438.000 email, tra cui credenziali, documenti aziendali e informazioni personali, sono finite nelle mani di un ricercatore di sicurezza perché i sistemi che le hanno spedite utilizzavano domini esterni come destinazioni apparentemente fittizie. Quei domini, però, avevano un proprietario e potevano ricevere posta. Cory Solovewicz li aveva acquistati per tutt’altro motivo.
QUANDO IL DOMINIO 'NOREPLY' ESISTE DAVVERO
La vicenda, raccontata da Wired, riguarda noreply.us e noreply.net, registrati dal ricercatore rispettivamente nel 2020 e nel 2024. Solovewicz voleva inizialmente utilizzare il primo per gestire la propria posta, filtrare i messaggi e migliorare la privacy. Aveva quindi attivato una configurazione "catch-all", che permette di raccogliere le email inviate a qualsiasi indirizzo del dominio, indipendentemente da ciò che precede la chiocciola. Sono presto arrivate anche comunicazioni di aziende e organizzazioni con cui non aveva alcun rapporto.Tra i contenuti ricevuti figurano rapporti sugli infortuni trasmessi da un’amministrazione cittadina, conferme di ordini di pizza, richieste di riparazione, credenziali per piattaforme di test e messaggi per configurare account su un servizio scolastico. Secondo Solovewicz, le email sono generate automaticamente dai sistemi aziendali, non scritte e spedite a mano.
L’errore riguarda l’utilizzo di domini come noreply.net, che alcune organizzazioni sembrano considerare destinazioni inesistenti o non monitorate. Un indirizzo del tipo [email protected] può invece essere perfettamente raggiungibile. La presenza della parola 'noreply' nel dominio non impedisce la consegna della posta.
Una possibile causa è la gestione degli account disattivati: quando un dipendente lascia un’azienda o un utente cancella il proprio profilo, il suo indirizzo potrebbe essere sostituito con uno di questi recapiti segnaposto. Se le notifiche restano attive, i messaggi continuano a partire e raggiungono il proprietario del dominio. È una delle spiegazioni possibili, non una procedura accertata per tutte le comunicazioni raccolte.
I numeri presentati dal ricercatore al Def Con danno un’idea della quantità di dati esposti. Il solo noreply.net ha ricevuto 401.796 messaggi da dicembre 2024, con una media calcolata di quasi 700 al giorno; 28.365 contenevano allegati. A noreply.us sono arrivate altre 37.255 email. Complessivamente, i mittenti superano i 14.000 indirizzi, riconducibili a circa 6.200 domini principali.
IL CASO DI DELETEDUSER.COM
Anche Mike Sheward, responsabile della sicurezza dell’azienda di ricarica per veicoli elettrici Xeal, si è trovato nella stessa situazione. Ha acquistato deleteduser.com per circa 15 dollari e nella prima ora ha già ricevuto email da tre organizzazioni. Sui diversi domini che ora possiede sono poi arrivati migliaia di messaggi provenienti da almeno un centinaio di organizzazioni, comprese società di cybersecurity e alcuni partner Microsoft.Sheward ha ricevuto conferme di ordini di Viagra, richieste di approvazione di ferie e assenze, prenotazioni alberghiere con i nomi completi degli ospiti e inviti a riunioni Zoom di un’agenzia governativa britannica. Persino un invito al barbecue estivo di un’azienda di San Francisco, rivolto a un generico “Dear Deleted User”.
Uno dei casi più delicati riguarda un’azienda che utilizza il riconoscimento degli oggetti basato su AI per individuare possibili violazioni delle procedure di sicurezza da parte dei lavoratori in siti industriali del Medio Oriente. Sheward ha riferito di aver ricevuto migliaia di immagini estratte dalle telecamere di sorveglianza utilizzate dal servizio.
I due ricercatori, lavorando separatamente, hanno acquistato complessivamente oltre 30 domini anche per limitare la possibilità che finiscano nelle mani di malintenzionati. Solovewicz ha inoltre sviluppato uno strumento per verificare se altri domini potenzialmente utilizzabili come segnaposto siano configurati per ricevere posta. Su 7.136 domini esaminati, 328 avevano caselle catch-all. Il dato non dimostra che tutti stiano ricevendo informazioni riservate, ma indica quante destinazioni potrebbero accettare messaggi inviati a indirizzi arbitrari.
Entrambi stanno cercando di avvertire le organizzazioni coinvolte, senza renderne pubblici i nomi. Alcune sembrano aver corretto le configurazioni senza rispondere, molte altre non hanno dato seguito alle segnalazioni. Per Solovewicz, gestire ogni singolo caso richiederebbe ormai un impegno a tempo pieno.
Il problema era già stato raccontato quasi vent’anni fa da Brian Krebs a proposito di donotreply.com. Per gli indirizzi segnaposto, le organizzazioni possono utilizzare domini interni sotto il proprio controllo oppure il suffisso riservato .invalid, destinato a nomi che non devono risolversi nel DNS. Utilizzare un dominio esterno senza verificarne proprietà e configurazione espone invece al rischio di continuare a spedire dati a chiunque lo abbia registrato.
Top gamma a prezzo da medio gamma? Poco F8 Ultra, compralo al miglior prezzo da Aliexpress.com a 601 euro.
CLICCA QUI PER CONTINUARE A LEGGERE
Testi ed immagini Copyright Hdblog.it