ایمیلهای noreply سر از دست غریبهها درمیارن
خلاصهٔ کاملتر
به گزارش WIRED و به قلم Matt Burgess، لازم نیست کسی به سیستمهای یه شرکت نفوذ کنه تا به اطلاعات داخلیش برسه؛ گاهی خود شرکت اونها رو ایمیل میکنه. دو پژوهشگر امنیتی به اسم Cory Solovevich و Mike Sheward متوجه شدن آدرسهای بهظاهر بیخطری مثل noreply و deleteduser میتونن به دروازهای برای اطلاعات شرکتی تبدیل بشن، اون هم فقط وقتی دامنهٔ پشتشون دیگه دست خود سازمان نباشه.
تو این گزارش اومده که Solovevich دامنههایی مثل noreply.net و noreply.us رو در اختیار داشته و دیده حجم عظیمی از ایمیلهایی که شرکتها فکر میکردن تو خلأ گم میشه، مستقیم میاد تو صندوق اون. فقط noreply.net تو یه سال و نیم بیشتر از ۴۰۰ هزار پیام و بالای ۲۸ هزار پیوست گرفته. Sheward هم با خرید deleteduser.com هزاران ایمیل ناخواسته گرفته: درخواست مرخصی، رزرو هتل، اسم کارمندها و دعوتنامهٔ جلسات Zoom.
منطق ماجرا سادهست. شرکتها برای حسابهایی که دیگه وجود ندارن از آدرسهای جایگزین استفاده میکنن، با این فرض که کسی به مقصدشون دسترسی نداره. ولی اگه دامنهٔ مربوطه دیگه دست سازمان نباشه و یکی دیگه ثبتش کنه، اون ایمیلهای بهظاهر بنبست یهو یه گیرندهٔ واقعی پیدا میکنن. Solovevich حدود ۷۱۳۶ دامنهٔ تنظیمشده برای دریافت ایمیل شناسایی کرده که ۳۲۸ تاشون صندوق catch-all دارن و هر آدرسی رو تو اون دامنه قبول میکنن.
نویسنده میگه خوشبختانه این دو نفر بهجای سوءاستفاده سراغ اطلاعدادن به سازمانهای آسیبدیده رفتن و Solovevich بیشتر از ۳۰ دامنه رو خریده تا دست بدخواهها بهشون نرسه. درس اصلی این تحقیق هم بهطرز خجالتآوری سادهست: یه آدرس ایمیل فقط چون شرکت فکر میکنه سیاهچالهست، سیاهچاله نیست. میشه میلیونها دلار خرج دفاع از شبکه کرد و آخرش کلید اسرار شرکت بشه مالکیت یه تیکه ملک اینترنتی.
نکات کلیدی:
- آدرسهایی مثل noreply و deleteduser وقتی دامنهشون دست سازمان نیست، به گیرندهٔ واقعی میرسن
- noreply.net تو یه سال و نیم بیش از ۴۰۰ هزار پیام و ۲۸ هزار پیوست دریافت کرده
- ۷۱۳۶ دامنهٔ آمادهٔ دریافت ایمیل شناسایی شده که ۳۲۸ تاشون catch-all هستن
- ریشهٔ مشکل پیکربندی فراموششدهٔ ایمیله، نه یه حملهٔ پیچیده
- سازمانها باید مالکیت دامنههای مقصد ایمیلهای خودکارشون رو بررسی کنن
