敏感信息频繁被发送到‘勿回复’邮箱，他尽收眼底

Sensitive Info Goes Into ‘No Reply’ Emails Constantly. This Guy Sees It All Source: https://www.wired.com/story/sensitive-info-goes-into-no-reply-emails-constantly-this-guy-sees-it-all/ Cory Solovewicz 收到的垃圾邮件比你多得多。说真的——那要多得多。自 2024 年 12 月以来，这位安全研究人员接收邮件的其中一个域名已记录了 401,796 条消息——按他的计算，平均每天收到 699.99 封。 这封洪水并非寻常的垃圾邮件、新闻通讯和烦人促销，那些东西填满了许多人的收件箱。相反，企业和组织正在无意间把他人的私人信息与公司机密发给 Solovewicz。在过去的几年里，他收到过来自某市政府的工伤报告、人们的披萨订单确认，以及某个学校平台发来的账户设置邮件。“我会收到需要维修的人的服务工单，也会收到大量测试平台凭证，”安全研究员兼顾问 [Solovewicz](https://cory.so/about) 表示。 Solovewicz 之所以会收到这海量邮件，是因为他拥有 [noreply.us](http://noreply.us/) 和 [noreply.net](http://noreply.net/) 这两个域名，分别购于 2020 年和 2024 年。最初，他计划将 noreply.us 用作一个 catch-all 邮箱——用来接收发送到该域名下任何 @ 地址的邮件——以便过滤消息并增强隐私。但很快他就注意到，其他系统正往 [@noreply.us](http://noreply.us/) 地址发送邮件。“我无意中制造了一个蜜罐，”Solovewicz 告诉 WIRED，“我完全没想到会变成这样。” 公司可能会向 \[companyname\]@noreply\.net 或类似的变体发送邮件，以为这些邮件不会发往任何地方，或者无法被监控。一般来说，它们也可能在某人离开公司或删除账户时，将个人邮箱地址改写为这类占位式域名后继续发送。 起初这只是个人的电子邮件项目，如今已变成一项大规模行动，旨在警告企业及其他组织：他们的内部系统配置有误，正在无意中分享敏感信息。Solovewicz 昨天在 Defcon 安全大会上展示了他的研究成果。他表示，最终他感到庆幸的是，这些域名落入自己手中，而不是可能恶意利用数据的犯罪黑客或国家行为体。 “我没想到问题会严重到这种地步，”Solovewicz 说。他未公开点名受影响实体。这位研究员一直在提醒受影响的公司注意其问题，鼓励他们修复错误和配置不当。“我只是希望企业和组织做正确的事，审计自己的系统，修复自己的东西。” Solovewicz 表示，[noreply.net](http://noreply.net/) 是他拥有的最大域名，在持有的一年半时间里已收到 40 万条消息，其中 28,365 条带有附件。[noreply.us](http://noreply.us/) 自 2020 年购得以来，在 2,345 天内收到了 37,255 条消息。在他大会演讲前的一个月里，两个域名合计收到了超过 11,000 条消息。总体来看，邮件来自超过 14,000 个“发件人”地址，涵盖 6,200 个根域名。研究员称，这些消息由公司系统自动生成，而非人类撰写。 尽管这个问题并不新鲜——近 20 年前，时任《*华盛顿邮报*》工作的独立安全记者 Brian Krebs 就报道过，公司曾向 [@donotreply.com 邮箱](http://donotreply.com/) 发送了数百万条消息——但这个问题本质上是可以避免的。例如，公司可以使用内部域名，或使用保证不存在的 [.invalid](https://datatracker.ietf.org/doc/html/rfc6761) 域名。 Solowevewicz 并非独自开展这项自愿行动；它正在帮助保护企业（通常是大型企业）的数据。今年早些时候，电动汽车充电公司 Xeal 的安全主管 Mike Sheward 花了大约 15 美元购买了 [deleteduser.com](http://deleteduser.com/) 域名。“在第一个小时里，就有三家不同的组织向 [@deleteduser.com](http://deleteduser.com/) 发送了邮件，”Sheward 告诉 WIRED。他指出，公司似乎只是把邮箱地址改掉，而不是从系统中彻底删除账户。 与 Solovewicz 一样，Sheward 也收到了成千上万封非预期的邮件——来自至少 100 个不同的组织——涉及他现在拥有的多个域名。他收到过详细列出人们 Viagra 订单的邮件、请他批准员工休假或请假的邮件、包含客人全名的酒店预订信息，以及来自英国政府机构的 Zoom 会议邀请。“还有不少网络安全公司，以及几家微软合作伙伴公司，”Sheward 说。几周前，他收到一封旧金山某公司夏季烧烤活动的邀请，抬头写着“亲爱的已删除用户”。 Sheward 说，最频繁的邮件来源之一是一家 AI 公司（他没有点名），该公司使用物体识别技术来检测中东工业场所中可能不遵守安全规程的工人。这位研究员表示，他已收到该公司发来的 [数千张闭路电视截图](https://infosec.exchange/@SecureOwl/116633004972665833)。“我是互联网垃圾场的优秀守卫者——但如果我是个坏守卫，就不难看出这些被随意抛到我面前的信息可能被滥用到什么程度，”他在四月份的一篇 [Medium 文章](https://mike-sheward.medium.com/deleteduser-com-a-15-pii-magnet-c4396eb21061) 中写道。 随着 Solovewicz 和 Sheward 都意识到这些误发邮件的潜在规模，以及这些数据对黑客和敲诈勒索者而言是一座金矿，他们在各自独立工作的同时，已购买了 30 多个域名，试图限制恶意行为者效仿这种做法。 在 Defcon 演讲中，Solovewicz 解释说他一直在构建一个探针，用来测试其他可能的占位域名是否也配置为接收邮件。“我扫描了 7,136 个域名，其中 328 个被识别为配置了 catch-all 收件箱，”Solovewicz 说，“我不确定这个问题到底有多大，但我担心的是，我注册域名时‘意外’发现的情况只是冰山一角。” 两位研究员都表示，在可能的情况下，他们一直在通知系统配置错误并向他们发送邮件的公司。他们说，结果好坏参半。虽然一些组织似乎悄悄修复了问题，但许多其他组织没有回应，而且问题规模之大，使得逐一通知每个受影响者成为一项挑战。 “这太多了，”Solovewicz 说，并强调人们不应假设某个域名无人监控。“现在要处理每一封这样的邮件，已经相当于一份全职工作——这就是我谈论这件事的部分动机，也是我的负责任披露。你们需要修复自己的系统，不要这样做，不要泄露你们的客户数据、员工数据以及你们自己的内部数据。”