As empresas tratam alguns domínios de email como caixotes do lixo digitais. O problema é que esses domínios podem existir e ter alguém do outro lado.
O consultor de cibersegurança Cory Solovewicz recebe mais emails indesejados do que a maioria das pessoas. Muitos mais.
Desde dezembro de 2024, um dos domínios recebeu 401.796 mensagens, uma média de quase 700 por dia.
Não se trata do habitual dilúvio de spam ou newsletters. Empresas e outras organizações estão, sem querer, a enviar-lhe informações privadas de clientes e funcionários, além de dados internos.
Solovewicz já recebeu relatórios de acidentes de uma autarquia, confirmações de encomendas, pedidos de reparação e passwords de plataformas de testes.
A razão é simples: Solovewicz é dono dos domínios noreply.us e noreply.net, que comprou em 2020 e 2024.
A ideia inicial era usar o noreply.us como caixa de correio “catch-all”, capaz de receber mensagens enviadas para qualquer endereço desse domínio, para filtrar emails e reforçar a sua privacidade.
Mas depressa percebeu que sistemas de outras organizações estavam a enviar mensagens para endereços @noreply.us.
“Criei uma espécie de armadilha digital por acidente”, diz Solovewicz à Wired. “Não fazia ideia de que isto se ia transformar nisto”.
Algumas empresas usam endereços como [nomedaempresa]@noreply.net por acreditarem que as mensagens enviadas para lá desaparecem ou não podem ser monitorizadas. Noutros casos, podem substituir o endereço de um funcionário que saiu da empresa por um domínio deste género, em vez de eliminarem a conta.
O que começou como um projeto pessoal transformou-se num esforço para alertar empresas com sistemas mal configurados.
Solovewicz, que apresentou o trabalho na conferência de segurança Defcon, diz estar aliviado por estes domínios terem ido parar às suas mãos, em vez das de hackers ou de agentes ligados a Estados.
“Não percebi que isto ia ser um problema desta dimensão”, afirma.
O investigador tem contactado as entidades afetadas e pedido que corrijam as configurações. “Só quero que as empresas e organizações façam o que devem fazer, que auditem os seus sistemas e corrijam os problemas”.
O noreply.net já recebeu cerca de 400.000 mensagens desde que Solovewicz o comprou, incluindo 28.365 com anexos. No total, os emails vieram de mais de 14.000 endereços de 6.200 domínios.
Segundo o investigador, são sobretudo mensagens geradas automaticamente pelos sistemas das empresas.
O problema não é novo.
Há quase 20 anos, o jornalista de cibersegurança Brian Krebs escreveu sobre empresas que enviavam milhões de mensagens para endereços @donotreply.com — um domínio que, diga-se, está neste momento à venda.
Este problema é evitável. As organizações podem usar domínios internos ou o domínio .invalid, reservado precisamente para endereços que não devem corresponder a um domínio real.
Solovewicz também não está sozinho.
Mike Sheward, responsável de segurança da empresa de carregamento de veículos elétricos Xeal, comprou por cerca de 15 dólares (13 euros) o domínio deleteduser.com. Em apenas uma hora, recebeu mensagens de três organizações diferentes.
Desde então, chegaram-lhe milhares de emails de pelo menos 100 entidades, com dados como encomendas de medicamentos, pedidos de aprovação de férias, reservas de hotéis com nomes completos e convites para reuniões de um organismo do Governo britânico.
Uma empresa de inteligência artificial chegou a enviar-lhe milhares de imagens de videovigilância de instalações industriais no Médio Oriente, usadas para detetar trabalhadores que poderiam estar a desrespeitar normas de segurança.
“Estou a ser um bom guardião do caixote do lixo da Internet, mas, se fosse um mau guardião, toda esta informação que me atiram para cima poderia ser usada de forma abusiva”, escreveu Sheward no Medium.
Solovewicz e Sheward, que trabalham de forma independente, compraram mais de 30 domínios deste tipo para tentar impedir que caiam nas mãos de agentes maliciosos.
Os dois investigadores têm tentado avisar as empresas afetadas. Algumas corrigiram os problemas discretamente. Muitas não responderam.
A escala do problema tornou-se difícil de gerir.
“Cheguei ao ponto em que tratar de cada um destes casos seria um emprego a tempo inteiro”, diz Solovewicz.
“Vocês têm de corrigir os vossos sistemas, deixar de fazer isto e deixar de expor os dados dos vossos clientes, dos vossos funcionários e os vossos próprios dados internos”, conclui.
(ZAP)