Cory Solovewicz, investigador y consultor de seguridad estadounidense, se ha convertido sin querer en el receptor de más de 400.000 correos electrónicos confidenciales que empresas y organizaciones envían por error a dominios genéricos que él mismo compró. Lo que comenzó como un proyecto personal para filtrar mensajes no deseados se ha transformado en una investigación a gran escala sobre un agujero de seguridad que afecta a miles de compañías en todo el mundo.
Solovewicz es propietario de los dominios noreply.us, adquirido en 2020, y noreply.net, comprado en 2024. Su intención original era utilizar noreply.us como dirección comodín (catch-all) para captar todo el correo enviado a cualquier dirección @noreply.us y así proteger su privacidad. Sin embargo, rápidamente descubrió que numerosos sistemas corporativos estaban enviando mensajes a direcciones como [empresa]@noreply.net, convencidos de que esos correos no llegaban a ningún destinatario real o que el dominio no estaba monitorizado.
Según sus cálculos, publicados en su charla de la conferencia DEF CON 34 y reflejados por Wired, noreply.net ha recibido alrededor de 400.000 mensajes en el año y medio que lleva en su poder, a una media de aproximadamente 700 diarios. De esos correos, más de 28.000 incluían archivos adjuntos. El dominio noreply.us, por su parte, acumula más de 37.000 mensajes en los cerca de 2.345 días desde su adquisición. Solo en el último mes, ambos dominios sumados han superado los 11.000 correos. En total, los mensajes provienen de más de 14.000 direcciones de remitente distintas, repartidas entre 6.200 dominios raíz.
La naturaleza del contenido es lo que resulta alarmante: informes de lesiones de gobiernos municipales, confirmaciones de pedidos de pizzas, credenciales de plataformas de prueba, solicitudes de vacaciones de empleados, reservas de hoteles con nombres completos, pedidos de Viagra, e incluso invitaciones a eventos corporativos. Solovewicz también ha recibido capturas de CCTV del sistema de vigilancia de una empresa tecnológica que detecta incumplimientos de protocolos de seguridad en plantas industriales de Oriente Medio.
«Creé un honeypot accidental», declaró Solovewicz a Wired. «No tenía idea de que se iba a convertir en esto». El investigador no hace públicos los nombres de las empresas afectadas, pero asegura que lleva meses notificándoles los errores para que corrijan sus sistemas. Los resultados, según reconoce, son desiguales: algunas organizaciones han solucionado sus fallos en silencio, pero la mayoría no responden, y la magnitud del problema hace inviable alertar a cada una.
No es un fenómeno nuevo. Hace casi veinte años, el periodista de ciberseguridad Brian Krebs, entonces en The Washington Post, ya documentó cómo las empresas enviaban millones de mensajes a direcciones @donotreply.com. También Mike Sheward, jefe de seguridad de la compañía de carga de vehículos eléctricos Xeal, compró este año el dominio deleteduser.com por 15 dólares. En la primera hora, ya había recibido correos de tres organizaciones distintas, y desde entonces ha acumulado miles de mensajes de más de cien entidades, incluidos correos del gobierno británico y de múltiples empresas de ciberseguridad y partners de Microsoft.
Para reducir el riesgo de que actores maliciosos –hackers, grupos de extorsión o incluso estados– exploten estos dominios como fuente de datos sensibles, ambos investigadores han comprado de forma coordinada más de 30 dominios del estilo. Solovewicz, además, ha desarrollado una sonda para rastrear otros posibles dominios comodín. De los 7.136 que ha analizado, 328 estaban configurados para recibir todo el correo entrante, lo que sugiere que el problema podría ser mucho mayor de lo detectado hasta ahora.
La solución técnica, señalan los expertos, es sencilla: las empresas deberían utilizar dominios internos propios o el dominio .invalid, un estándar reservado por la IETF y garantizado para no existir. En cambio, muchos sistemas sustituyen la dirección del usuario al eliminar una cuenta o cuando un empleado deja la empresa, redirigiendo el flujo de información a un placeholder que no controlan.
«Estoy en el punto en el que esto sería un trabajo a tiempo completo», concluyó Solovewicz, que insiste en que las organizaciones no asuman jamás que un dominio está sin monitorizar. Su mensaje, lejos de ser alarmista, es una llamada a la responsabilidad: auditar los sistemas, corregir los errores y dejar de filtrar datos de clientes, empleados y operaciones internas a buzones que cualquier desconocido puede comprar por unos cuantos dólares.