Ошибки в настройках почтовых систем привели к утечке конфиденциальных данных на личные домены

Como gran aficionado a comprar dominios que soy, y a montar proyectos que dejo tan abandonados como los dominios, me ha llamado mucho la atención lo que le ha ocurrido a Cory Solovewicz, un consultor de seguridad y desarrollador. Cory decidió montarse una dirección de correo para su uso personal desde la que captar todos los emails enviados a un dominio. Primero compró noreply.us y, cuatro años más tarde, reservó noreply.net. Entonces empezó a llegar correo. Muchísimo correo. El problema. Según contó Cory Solovewicz en una charla de la conferencia de seguridad DEF CON 34, y reflejó Wired, los buzones de correo que montó sobre los dominios recibieron desde 2024 más de 400.000 mensajes. Lo que viene siendo una verdadera tonelada de correo ajeno. El problema podría terminar en los correos no deseados: si el almacenamiento del servidor no es problema, un simple click al botón de “Vaciar spam” y listo. Pero no: según comprobó Cory, los correos recibidos contenían archivos confidenciales y otra información privada que las empresas compartían con los dominios noreply por error. Entre todos esos datos destacan algunos como: - Encargos de pizza. - Solicitudes de empleo. - Correos con información delicada directamente enviados por el ayuntamiento de una ciudad. - Configuraciones de correo de direcciones educativas. Cory Solovewicz explica toda la odisea en la presentación que hizo en la conferencia DEF CON 34 (enlace al PDF, es pesado). Lo que en un principio iba a ser una dirección de correo para sus propios asuntos terminó convirtiéndose sin querer en una especie de honeypot, una herramienta que los hackers utilizan a modo de gancho. “No me di cuenta de que esto iba a convertirse en un problema tan grande como ha resultado ser”, añadió. El porqué. Cory no tiene demasiado claras las razones por las que empresas, gobiernos y particulares envían mensajes a sus dominios noreply. En la presentación mostró sus reflexiones sobre por qué habría recibido 434.779 emails en las direcciones noreplay.us y noreplay.net. Estas fueron: - La gente da por hecho que “noreply” significa que es seguro y que nadie lo utiliza. - Los desarrolladores y testers usan dominios ficticios que luego acaban reutilizándose en producción. - Los valores usados como marcadores de posición pueden terminar convirtiéndose en un riesgo. Sean cuales sean las razones, Cory Solovewicz se ha embarcado en un proyecto diferente: alertar a los remitentes de que están reenviando correos sensibles a dominios ajenos a sus organizaciones. “Tenéis que arreglar vuestros sistemas, dejar de hacer esto y dejar de filtrar los datos de vuestros clientes, de vuestros empleados y vuestros propios datos internos”, ha comentado. ¿Podría pasar en español? No he podido evitarlo: como comprador impulsivo de dominios que se está quitando el vicio, he ido a comprobar si “noresponder” estaba libre. Resulta que sí, aunque en el TLD .es. Por unos pocos euros podría comprobar si la historia de Cory Solovewicz se repite con un dominio en español, aunque creo que por esta vez voy a abstenerme. Ya tengo suficiente spam en la vida, no necesito salir a buscar más. Imagen de portada | CahtGPT editada En Xataka | 'Chat.com' es uno de los dominios más antiguos de internet. Su nuevo dueño no podía ser otro: OpenAI