Чому листи на noreply-пошту не зникають і як це загрожує безпеці

Дослідник з інформаційної безпеки Кори Соловевич, власник доменів noreply.net і noreply.us, за даними Wired, з грудня 2024 року отримав понад 401 000 чужих листів — від звітів про травми до облікових даних тестових систем. Компанії масово використовують адреси на таких доменах як заглушки, не підозрюючи, що пошта насправді доставляється. Проблема стосується організацій із найрізноманітніших галузей: від освіти й громадського харчування до державних установ і промислових підприємств. Для захисту достатньо перейти на внутрішні домени або зарезервований домен верхнього рівня .invalid.

Хронологія та масштаб проблеми

Як повідомляється, Соловевич придбав домен noreply.us у 2020 році для власної фільтрації пошти, а noreply.net — у 2024 році. Обидва домени були налаштовані як catch-all — тобто приймали листи на будь-яку адресу в межах домену. Дослідник швидко виявив, що на них надходить потік автоматичних сповіщень від сторонніх сервісів.

Лише на noreply.net за період із грудня 2024 року зафіксовано 401 796 вхідних листів — у середньому близько 700 повідомлень на добу. З них 28 365 містили вкладення. За останній місяць перед виступом Соловевича на конференції DEF CON обидва домени отримали понад 11 000 листів, надісланих із більш ніж 14 000 адрес, що належать 6 200 доменам.

Серед перехопленої кореспонденції, за даними дослідника, опинилися:

• звіти міських служб про виробничі травми;
• підтвердження замовлень піци;
• сповіщення про створення акаунтів на освітніх платформах;
• заявки на ремонт;
• облікові дані для тестових систем.

Причини: чому листи йдуть на чужі домени

Корінь проблеми — у використанні реально маршрутизованих доменів як заглушок. Передбачається два основних сценарії:

Умисні заглушки. Організації підставляють адреси вигляду [email protected] у поля відправника або одержувача, виходячи з помилкового припущення, що така поштова скринька не існує. Насправді домен noreply.net зареєстрований і приймає пошту.

Заміна видалених облікових записів. Під час звільнення співробітника або деактивації користувача деякі системи автоматично замінюють його email-адресу на placeholder замість повного видалення облікового запису. Якщо placeholder вказує на публічний домен — листи йдуть його власнику.

Не поодинокий випадок: deleteduser.com і donotreply.com

Проблема відтворюється й на інших «промовистих» доменах. Глава служби інформаційної безпеки компанії Xeal Майк Шевард, за його власним описом, на початку 2025 року придбав домен deleteduser.com приблизно за 15 доларів і вже протягом першої години отримав листи від трьох організацій. Відтоді йому надійшли тисячі повідомлень щонайменше від 100 компаній, зокрема дані про замовлення медикаментів, запити на погодження відпусток, бронювання готелів із повними іменами постояльців і запрошення в Zoom від британської державної установи.

Окремої уваги заслуговує випадок із неназваною компанією, що працює у сфері ШІ: за даними із соціальних мереж, її системи аналізу дотримання техніки безпеки на промислових об’єктах Близького Сходу надіслали Шеварду тисячі кадрів із камер спостереження. Ця інформація ґрунтується на публікації самого дослідника й не підтверджена офіційною заявою компанії.

Проблема існує не перший рік. Ще близько 20 років тому журналіст Браян Кребс описував аналогічну ситуацію з доменом donotreply.com, на який компанії надсилали мільйони листів.

Оцінка впливу

Масштаб потенційної експозиції значний. Соловевич перевірив 7 136 потенційних placeholder-доменів і виявив, що 328 із них налаштовані як catch-all і здатні приймати будь-яку вхідну пошту. Це означає, що сотні доменів прямо зараз можуть акумулювати конфіденційні дані — і не всі з них належать дослідникам із добрими намірами.

Ризики для організацій включають:

• витік персональних даних — імена, адреси, дані замовлень, медична інформація;
• компрометацію облікових даних — логіни й паролі тестових (а потенційно й продуктивних) систем;
• витік внутрішніх комунікацій — кадрові запити, бронювання, запрошення на зустрічі;
• порушення регуляторних вимог — GDPR, ФЗ-152 та інших норм щодо захисту персональних даних.

Усвідомивши масштаб загрози, Соловевич і Шевард незалежно один від одного придбали більш як 30 подібних доменів, щоб запобігти їх потраплянню до рук зловмисників. Однак це приватна ініціатива, яка не розв’язує системну проблему.

Практичні рекомендації

Щоб запобігти ненавмисному надсиланню даних на чужі домени:

1. Проведіть аудит placeholder-адрес. Перевірте всі конфігурації систем, що використовують адреси з «noreply», «donotreply», «deleteduser» та подібними патернами. Переконайтеся, що домени в цих адресах належать вашій організації.
2. Використовуйте внутрішні домени. Для заглушок застосовуйте власні домени організації (наприклад, [email protected], де example.com — ваш домен) або піддомени, які не маршрутизуються в зовнішню мережу.
3. Застосовуйте зарезервований домен .invalid. Згідно з RFC 2606, домен верхнього рівня .invalid гарантовано не розв’язується в DNS і не може приймати пошту. Адреса вигляду [email protected] безпечна для використання як заглушка.
4. Перегляньте процедуру деактивації користувачів. Під час видалення облікових записів співробітників не замінюйте їхні email-адреси на placeholder із зовнішнім доменом. Повністю видаляйте прив’язку або перенаправляйте на внутрішню адресу.
5. Налаштуйте моніторинг вихідної пошти. Упровадьте правила DLP, що блокують надсилання листів на домени зі списку типових placeholder-патернів.

Двадцятирічна історія цієї проблеми — від donotreply.com до noreply.net і deleteduser.com — показує, що вона не зникне сама по собі. Кожна організація, яка використовує email-заглушки, має просто зараз перевірити, чи не надсилає вона конфіденційні дані на домени, що їй не належать, і перейти на використання власних доменів або зарезервованого TLD .invalid для всіх placeholder-адрес.