Falha em e-mails "no-reply" escancara segredos de grandes empresas

Endereços de e-mail criados para nunca receber respostas, como "noreply" e "deleteduser", estão se transformando em portas de entrada para dados sigilosos de empresas. Uma investigação da revista WIRED mostrou que pesquisadores de segurança compraram domínios ligados a esses endereços genéricos e passaram a receber, sem qualquer invasão, informações internas de companhias que acreditavam estar enviando mensagens para um destino inexistente.

Os pesquisadores Cory Solovewicz e Mike Sheward protagonizam o caso. Eles não precisaram de ataques sofisticados. Bastou registrar os domínios certos para começar a receber, de forma automática, dados que deveriam ter desaparecido.

Falha está na compra do domínio

Solovewicz é dono dos domínios noreply.us e noreply.net, adquiridos em 2020 e 2024, respectivamente. Segundo o pesquisador, o plano inicial era usar o noreply.us como um endereço de captura geral para filtrar mensagens e proteger sua própria privacidade. Ele logo percebeu que sistemas de outras organizações enviavam e-mails para endereços daquele domínio sem que ele tivesse qualquer vínculo com essas empresas.

À WIRED, Solovewicz descreveu o resultado como um "honeypot acidental", já que não esperava transformar o domínio em um receptor de dados corporativos. Desde dezembro de 2024, apenas um desses domínios já registrou 401.796 mensagens, uma média de quase 700 por dia, conforme cálculo do próprio pesquisador.

Sheward viveu situação parecida. Ele pagou cerca de 15 dólares pelo domínio deleteduser.com e, na primeira hora após a compra, já havia recebido e-mails de três organizações diferentes. O padrão se repete quando empresas trocam o endereço de um funcionário por um rótulo genérico após ele deixar o cargo, em vez de excluir o cadastro por completo.

Volume de mensagens expõe escala do problema

O domínio noreply.net acumulou mais de 400 mil mensagens em um ano e meio, das quais 28.365 traziam anexos. Já o noreply.us somou 37.255 mensagens ao longo de 2.345 dias sob posse de Solovewicz.

No mês anterior à apresentação dele no Defcon, a conferência de segurança realizada nos Estados Unidos, os dois domínios somados receberam mais de 11 mil mensagens, enviadas por 14 mil endereços distintos, ligados a 6.200 domínios de origem.

Entre o conteúdo recebido por Sheward estão pedidos de férias de funcionários, reservas de hotel com nomes completos e convites para reuniões no Zoom emitidos por uma agência do governo britânico. Ele também recebeu milhares de imagens de câmeras de segurança enviadas por uma empresa de inteligência artificial que monitora trabalhadores em instalações no Oriente Médio, segundo relatou à WIRED.

Solovewicz foi além da coleta passiva de dados. Durante sua apresentação no Defcon, ele revelou ter testado 7.136 domínios usados como placeholders por diferentes empresas. Desse total, 328 estavam configurados com caixas de entrada do tipo catch-all, capazes de aceitar mensagens enviadas para qualquer endereço daquele domínio.

Pesquisadores notificam empresas, mas resposta é limitada

Solovewicz e Sheward afirmam alertar as organizações afetadas sempre que identificam uma falha, em vez de explorar os dados recebidos. Os dois já compraram, juntos, mais de 30 domínios com o objetivo de impedir que agentes maliciosos façam o mesmo tipo de captura.

O problema não é novo. Há cerca de 20 anos, o jornalista Brian Krebs, então na Washington Post, já havia relatado que empresas enviavam milhões de mensagens para o endereço donotreply.com. A recomendação técnica para evitar o risco é simples, segundo a reportagem da WIRED: usar domínios internos ou o domínio .invalid, reservado justamente para não existir na prática.

Apesar dos alertas, a taxa de resposta das empresas notificadas tem sido baixa. Solovewicz afirma que corrigir cada caso individualmente já se tornaria um trabalho em tempo integral, dado o volume de organizações com sistemas mal configurados.