Firmy wysyłają dane na nieistniejące adresy. Problem z domenami “noreply”

Badacz bezpieczeństwa Cory Solovewicz jest właścicielem domen noreply.us i noreply.net, które kupił odpowiednio w 2020 i 2024 roku. Początkowo planował stworzyć skrzynkę catch-all, aby odbierać pocztę z dowolnego adresu w domenie. Okazało się jednak, że stworzył w ten sposób własny honeypot.

TLDR:

• Badacz bezpieczeństwa Cory Solovewicz, właściciel domen noreply.us i noreply.net, przypadkowo stworzył honeypot, do którego firmy wysyłają cudze dane i informacje firmowe.
• Na noreply.net w ciągu 1,5 roku trafiło ponad 400 tys. wiadomości, a na noreply.us – 37 tys. Wśród nich były m.in. zgłoszenia, zamówienia pizzy, dane dotyczące kont oraz inne informacje, które nie powinny trafić do przypadkowego odbiorcy.
• Solovewicz i inni badacze kupują podobne domeny, aby wykrywać błędne konfiguracje i ograniczać możliwość wykorzystania tego problemu przez atakujących.
• Rozwiązaniem jest m.in. prawidłowe usuwanie kont oraz korzystanie z domeny .invalid zamiast fikcyjnych adresów, które mogą należeć do rzeczywistych odbiorców.

Firmy wysyłają wiadomości na adresy w domenach noreply.net/noreply.us i podobnych – sądząc zapewne, że nigdzie one nie trafią. Zdarza się również, że zamiast usuwać konta użytkowników, niektóre systemy podmieniają jedynie adres e-mail w bazie na rzekomo “nieistniejący”. Jest to zdecydowanie zła praktyka, którą widzieliśmy jeszcze przy okazji pamiętnego wycieku z Morele.net.

Na adresy w domenie noreply.net przez 1,5 roku wpłynęło ponad 400 tysięcy wiadomości. Z kolei domena noreply.us przyjęła 37 tys. wiadomości od momentu zakupu w 2020 roku. Wśród otrzymanych maili były zgłoszenia od władz miejskich, potwierdzenia zamówień pizzy składanych przez ludzi oraz informacje dotyczące konfiguracji kont na różnych platformach.

Badacz nie podał publicznie nazw podmiotów, których dotyczy problem. Informuje jednak o nim dotknięte firmy, zachęcając je do naprawienia błędów i nieprawidłowych konfiguracji. Niektóre organizacje faktycznie likwidują problem (choć nie zawsze odpowiadają na wiadomość), ale sama skala problemu sprawia, że powiadomienie każdej osoby dotkniętej problemem stanowi wyzwanie.

W ramach swojego wystąpienia na Defcon Solovewicz wyjaśnił, że buduje system mający sprawdzić, czy inne potencjalne domeny “zastępcze” mogą odbierać pocztę. Przeskanował ponad 7 tys. domen i w 328 z nich zidentyfikował skrzynki catch-all. Możliwe, że ktoś o złych zamiarach też wpadł na pomysł rejestracji domen.

Solovewicz nie jest jedyną osobą zaangażowaną w tego typu eksperymenty. Na początku tego roku Mike Sheward kupił domenę deleteduser.com. Nie minęła godzina, a 3 różne organizacje wysłały wiadomości na adresy @deleteduser.com. Jednym z najczęstszych źródeł otrzymywanych maili była firma zajmująca się AI, która wykorzystuje technologię rozpoznawania obiektów na terenach przemysłowych na Bliskim Wschodzie.

Mowa o wykrywaniu pracowników nieprzestrzegających procedur bezpieczeństwa. Wiadomości od firmy zawierały tysiące zdjęć z kamer monitoringu. To już informacje, które zdecydowanie nie powinny trafiać do niepowołanych osób.

Użytkownikom rejestrującym się we wszelkich usługach polecamy stosować adresy, nad którymi faktycznie mamy kontrolę. Jeśli nie chcesz podawać swojego prawdziwego maila (bardzo dobrze!), skorzystaj z dostępnych narzędzi do tworzenia aliasów – nie wpisuj jednak “losowego” adresu, bo nie masz gwarancji, że nikt go nie kontroluje.

A programistom polecamy wdrażać poprawną obsługę usuwania kont. Zmiana wartości pola w bazie danych na deleted-user-1234@noreply.net to nie jest usunięcie konta użytkownika. Jeśli z jakiegoś powodu musisz podać adres e-mail nieistniejącego użytkownika, skorzystaj z domeny .invalid.

Źródło: wired.com

~Tymoteusz Jóźwiak