Compró el dominio "noreply.net" y recibió 400.000 correos ajenos
El consultor de seguridad Cory Solovewicz compró los dominios noreply.us y noreply.net como casilla personal y terminó recibiendo desde 2024 más de 434.000 correos ajenos, algunos con datos confidenciales de empresas y gobiernos.
El consultor de seguridad y desarrollador Cory Solovewicz compró el dominio noreply.us para usarlo como casilla personal y, cuatro años más tarde, sumó también noreply.net. Lo que buscaba era simplemente centralizar sus propios correos bajo un nombre que nadie más quisiera. En cambio, desde 2024 esas dos direcciones acumularon 434.779 mensajes ajenos, muchos con información confidencial que empresas, gobiernos y particulares enviaban por error pensando que del otro lado no había nadie.
Las direcciones que empiezan con "noreply" se usan para mandar avisos automáticos que no esperan respuesta: confirmaciones de compra, alertas de sistema, notificaciones de apps. Por eso mucha gente, y también muchos sistemas informáticos, asume que ese buzón está vacío o que nadie lo revisa. Solovewicz aprovechó justamente esa suposición: si nadie quería esos dominios, él sí, y los configuró para leer todo lo que les llegara.
Entre los cientos de miles de mensajes, Solovewicz encontró de todo: pedidos de pizza mal direccionados, currículums de gente que buscaba trabajo, datos de configuración de cuentas de correo de centros educativos y, según relató, información sensible que el gobierno de una ciudad mandó directamente a su bandeja. Nada de eso estaba destinado a él: eran errores de sistemas ajenos que usaban "noreply" como remitente o destinatario de prueba y terminaron filtrando datos reales.
El boletín de Onda Corta
En una presentación durante DEF CON 34, la conferencia de hacking que luego cubrió la revista Wired, Solovewicz planteó tres hipótesis sobre por qué le llegó tanto correo ajeno: que la gente da por sentado que un dominio con "noreply" en el nombre es seguro y que nadie lo controla; que desarrolladores y testers usan dominios inventados durante las pruebas de sus sistemas y esos valores de prueba terminan colándose sin querer en el código que después se pone en producción; y que, una vez ahí, esos datos de relleno se convierten en un canal real de fuga de información.
Frente a semejante volumen de datos ajenos, Solovewicz encaró un nuevo proyecto: avisar a las organizaciones de que sus sistemas están mandando información sensible a un dominio que no les pertenece. "No me di cuenta de que esto iba a convertirse en un problema tan grande como ha resultado ser", reconoció durante su charla. Su mensaje a las empresas fue directo: "Tenéis que arreglar vuestros sistemas, dejar de hacer esto y dejar de filtrar los datos de vuestros clientes, de vuestros empleados y vuestros propios datos internos".
El fenómeno no está limitado al inglés: el dominio equivalente en español, noresponder.es, sigue disponible para quien quiera comprobar si el mismo patrón se repite fuera del mundo anglosajón.
El boletín de Onda Corta