‏خرید یک دامنه، تحویل روزانه ۷۰۰ ایمیل محرمانه

به روایت این گزارش، کوری سولووویچ پژوهشگر امنیتی، سال ۲۰۲۰ دامنه‌ی noreply.us و سال ۲۰۲۴ دامنه‌ی noreply.net رو خرید تا ازشون به‌عنوان ایمیل catch-all برای حفظ حریم خصوصی خودش استفاده کنه. خیلی زود فهمید سیستم‌های شرکت‌های دیگه دارن به آدرس‌های همین دامنه‌ها ایمیل می‌فرستن. خودش می‌گه ناخواسته یه هانی‌پات ساخته.

عددها بزرگن: از دسامبر ۲۰۲۴ روی یکی از دامنه‌ها بیش از ۴۰۱ هزار پیام ثبت شده، یعنی به‌طور میانگین حدود ۷۰۰ ایمیل در روز. حدود ۲۸ هزار تا از پیام‌های noreply.net پیوست داشتن و دامنه‌ی noreply.us هم از ۲۰۲۰ تا حالا بیش از ۳۷ هزار پیام گرفته. فرستنده‌ها بیش از ۱۴ هزار آدرس از حدود ۶ هزار دامنه‌ی ریشه بودن و تقریباً همه‌شون رو سیستم‌ها خودکار تولید کردن، نه آدم.

محتواشون هم بی‌ضرر نیست: گزارش حادثه از یه شهرداری، تأیید سفارش غذا، ایمیل ساخت حساب یه پلتفرم آموزشی و کلی اطلاعات ورود محیط‌های تست. ریشه‌ی مشکل ساده‌ست — سیستم‌ها فرض می‌کنن آدرسی مثل noreply جایی نمی‌ره، یا وقتی کارمندی می‌ره آدرسش رو به‌جای حذف حساب به یه دامنه‌ی جایگزین تغییر می‌دن. نویسنده یادآوری می‌کنه این مشکل تازه نیست؛ بیست سال پیش برایان کربس همین ماجرا رو درباره‌ی donotreply.com نوشته بود.

سولووویچ تنها نیست. مایک شوارد، مسئول امنیت شرکت Xeal، با حدود ۱۵ دلار دامنه‌ی deleteduser.com رو خرید و می‌گه تو همون ساعت اول سه سازمان براش ایمیل فرستادن؛ از درخواست تأیید مرخصی و رزرو هتل تا هزاران فریم دوربین مداربسته از یه شرکت هوش مصنوعی. این دو نفر مستقل از هم بیش از ۳۰ دامنه‌ی مشابه خریدن تا دست مهاجم‌ها بهشون نرسه.

سولووویچ تو دفکان گفته با یه پروب ۷ هزار و ۱۳۶ دامنه رو اسکن کرده و ۳۲۸ تاشون catch-all فعال داشتن، و به نظر خودش این فقط نوک کوه یخه. راه‌حل هم پیچیده نیست: دامنه‌ی داخلی، یا دامنه‌ی رزروشده‌ی .invalid که طبق RFC 6761 اصلاً قرار نیست وجود داشته باشه.

نکات کلیدی:

• دامنه‌های noreply.us و noreply.net روزی حدود ۷۰۰ ایمیل خودکار از شرکت‌ها می‌گیرن
• محتوای ایمیل‌ها شامل اطلاعات کارمندها، مشتری‌ها و اطلاعات ورود محیط تست بوده
• علت اصلی: فرض غلط اینکه آدرس noreply مقصدی نداره یا مانیتور نمی‌شه
• از ۷ هزار و ۱۳۶ دامنه‌ی اسکن‌شده، ۳۲۸ تاشون catch-all فعال داشتن
• راه درست استفاده از دامنه‌ی داخلی یا دامنه‌ی .invalid طبق RFC 6761 ـه