Tutkija sai yritysten salaisuuksia ostamalla noreply.net-verkkotunnuksen

Turvallisuustutkija Cory Solovewicz on saanut huolestuttavan suuren määrän yritysten salaisuuksia ja henkilökohtaisia tietoja sen jälkeen, kun hän osti noreply.net-verkkotunnuksen. Vuodesta 2024 lähtien Solovewiczin hallinnoimaan verkkotunnukseen on vastaanotettu satoja tuhansia sähköposteja, jotka sisältävät muun muassa yritysten sisäisiä tietoja, asiakastilauksia ja jopa viranomaisten raportteja.

Solovewicz, joka on myös konsultti, osti noreply.net-verkkotunnuksen vuonna 2024 ja noreply.us-verkkotunnuksen vuonna 2020. Hän suunnitteli alun perin käyttävänsä verkkotunnuksia sähköpostien suodattamiseen ja yksityisyyden parantamiseen. Hän kuitenkin huomasi pian, että monet yritykset ja organisaatiot käyttävät näitä verkkotunnuksia automaattisissa järjestelmissään ilman asianmukaista tarkistusta.

Näiden tietojen joukossa on ollut muun muassa kaupunginhallituksen tekemiä loukkaantumisraportteja, vahvistuksia pizzatilauksista ja kouluympäristön käyttäjätilien luontisähköposteja. Solovewicz kuvaili tilannetta vahingossa luoduksi hunajakoriaksi, joka on alkanut kerätä tietoja odottamattomalla tavalla.

Tapaus korostaa laajempia tietoturvariskejä, jotka liittyvät sähköpostiosoitteiden hallintaan ja automaattisten viestintäjärjestelmien virheelliseen konfiguraatioon. Yritysten on varmistettava, että niiden järjestelmät käsittelevät arkaluonteisia tietoja turvallisesti ja että ulkoiset verkkotunnukset, kuten 'noreply'-tyyppiset, on asianmukaisesti rajattu pois viestintäpoluista.