Victor Bianchin
RedatorVictor Bianchin é jornalista.
Relato original de Iván Linares, do Xataka Espanha
Como sou um grande fã de comprar domínios e montar projetos que abandono tanto quanto os domínios, o que aconteceu com Cory Solovewicz, consultor de segurança e desenvolvedor, me chamou muito a atenção. Cory decidiu criar um endereço de e-mail para uso pessoal que captasse todos os e-mails enviados para um domínio. Primeiro, comprou noreply.us e, quatro anos mais tarde, registrou noreply.net. Então os e-mails começaram a chegar. Muitos e-mails.
Segundo Solovewicz contou em uma palestra na conferência de segurança DEF CON 34, e a revista Wired repercutiu, as caixas de entrada que ele criou nos domínios receberam mais de 400 mil mensagens desde 2024. Isso é uma verdadeira tonelada de e-mails alheios.
Se o armazenamento do servidor não for um problema, basta clicar no botão "Esvaziar spam" e pronto, questão resolvida. Mas não: segundo Cory constatou, os e-mails recebidos continham arquivos confidenciais e outras informações privadas que as empresas compartilhavam por engano com os domínios noreply.
Entre todos esses dados, destacam-se alguns como:
- Pedidos de pizza.
- Solicitações de emprego.
- E-mails com informações delicadas enviados diretamente pela prefeitura de uma cidade.
- Configurações de e-mail de endereços educacionais.
Cory Solovewicz explica toda a odisseia na apresentação que fez na conferência DEF CON 34 (o PDF é pesado). O que inicialmente seria um endereço de e-mail para seus próprios assuntos acabou se transformando, sem querer, em uma espécie de honeypot, uma ferramenta que os hackers utilizam como isca. “Eu não percebi que isso se transformaria em um problema tão grande quanto acabou sendo”, acrescentou.
Imagem: Cory Solovewicz
Cory não sabe explicar muito bem por que empresas, governos e civis enviam mensagens para seus domínios noreply. Na apresentação, ele mostrou suas reflexões sobre por que teria recebido 434.779 e-mails nos endereços noreply.us e noreply.net. Foram elas:
- As pessoas presumem que “noreply” significa que é seguro e que ninguém o utiliza.
- Desenvolvedores e testadores usam domínios fictícios que acabam sendo reutilizados em produção.
- Os valores usados como marcadores de posição podem acabar se tornando um risco.
Quaisquer que sejam as razões, Cory Solovewicz embarcou em um projeto diferente: alertar os remetentes de que estão encaminhando e-mails sensíveis para domínios externos às suas organizações. “Vocês precisam corrigir seus sistemas, parar de fazer isso e parar de vazar os dados de seus clientes, de seus funcionários e seus próprios dados internos”, comentou.
Poderia acontecer em espanhol? Não consegui evitar: como comprador impulsivo de domínios que está tentando se livrar do vício, fui verificar se “noresponder” estava disponível. Acontece que sim, embora no domínio de primeiro nível “.es”. Por alguns poucos euros, eu poderia verificar se a história de Cory Solovewicz se repete com um domínio em espanhol, mas acho que, desta vez, vou me abster. Já tenho spam suficiente na vida, não preciso sair procurando mais.
Imagem | ChatGPT
Este texto foi traduzido/adaptado do site Xataka Espanha.
Ver 0 Comentários