El investigador de seguridad de la información Kori Solovevich, propietario de los dominios noreply.net y noreply.us, según datos de Wired, desde diciembre de 2024 ha recibido más de 401 000 correos ajenos: desde informes sobre lesiones hasta credenciales de sistemas de prueba. Las empresas utilizan de forma masiva direcciones en estos dominios como placeholders, sin sospechar que el correo se entrega realmente. El problema afecta a organizaciones de los sectores más diversos: desde educación y restauración hasta organismos públicos y empresas industriales. Para protegerse basta con pasar a dominios internos o al dominio de nivel superior reservado .invalid.
Cronología y alcance del problema
Según se informa, Solovevich adquirió el dominio noreply.us en 2020 para filtrar su correo personal y noreply.net en 2024. Ambos dominios se configuraron como catch-all, es decir, aceptaban correos dirigidos a cualquier dirección dentro del dominio. El investigador descubrió rápidamente que recibía un flujo de notificaciones automáticas de servicios de terceros.
Solo en noreply.net, en el período desde diciembre de 2024, se registraron 401 796 correos entrantes, una media de unos 700 mensajes al día. De ellos, 28 365 contenían adjuntos. En el último mes antes de la ponencia de Solovevich en la conferencia DEF CON, ambos dominios recibieron más de 11 000 correos enviados desde más de 14 000 direcciones pertenecientes a 6 200 dominios.
Entre la correspondencia interceptada, según el investigador, se encontraban:
- informes de servicios municipales sobre lesiones laborales;
- confirmaciones de pedidos de pizza;
- notificaciones de creación de cuentas en plataformas educativas;
- solicitudes de reparación;
- credenciales de acceso para sistemas de prueba.
Causas: por qué los correos van a dominios ajenos
La raíz del problema está en el uso de dominios realmente enroutables como placeholders. Se plantean dos escenarios principales:
Placeholders intencionados. Las organizaciones introducen direcciones del tipo [email protected] en los campos de remitente o destinatario, partiendo del erróneo supuesto de que dicho buzón de correo no existe. En realidad, el dominio noreply.net está registrado y recibe correo.
Sustitución de cuentas eliminadas. Al despedir a un empleado o desactivar un usuario, algunos sistemas sustituyen automáticamente su dirección de correo electrónico por un placeholder en lugar de eliminar por completo la cuenta. Si el placeholder apunta a un dominio público, los correos se envían a su propietario.
No es un caso aislado: deleteduser.com y donotreply.com
El problema se reproduce en otros dominios “descriptivos”. El responsable de seguridad de la información de la empresa Xeal, Mike Sheward, según su propia descripción, a comienzos de 2025 adquirió el dominio deleteduser.com por unos 15 dólares y en la primera hora ya recibió correos de tres organizaciones. Desde entonces le han llegado miles de mensajes procedentes de al menos 100 compañías, incluidos datos sobre pedidos de medicamentos, solicitudes de aprobación de vacaciones, reservas de hotel con los nombres completos de los huéspedes e invitaciones de Zoom de un organismo público británico.
Merece especial atención el caso de una empresa anónima que opera en el ámbito de la IA: según datos de redes sociales, sus sistemas de análisis del cumplimiento de las normas de seguridad laboral en instalaciones industriales de Oriente Medio enviaron a Sheward miles de fotogramas de cámaras de vigilancia. Esta información se basa en la publicación del propio investigador y no está confirmada por una declaración oficial de la empresa.
El problema no es nuevo. Hace unos 20 años el periodista Brian Krebs ya describía una situación similar con el dominio donotreply.com, al que las empresas enviaban millones de correos.
Evaluación del impacto
La magnitud de la posible exposición es considerable. Solovevich analizó 7 136 dominios potencialmente usados como placeholders y descubrió que 328 de ellos estaban configurados como catch-all y podían aceptar cualquier correo entrante. Esto significa que cientos de dominios ahora mismo pueden estar acumulando datos confidenciales, y no todos pertenecen a investigadores de buena fe.
Los riesgos para las organizaciones incluyen:
- Fuga de datos personales: nombres, direcciones, datos de pedidos, información médica;
- Compromiso de credenciales: logins y contraseñas de sistemas de prueba (y potencialmente productivos);
- Fuga de comunicaciones internas: solicitudes de RR. HH., reservas, invitaciones a reuniones;
- Incumplimiento de requisitos normativos: GDPR, FZ-152 y otras normas de protección de datos personales.
Al tomar conciencia de la magnitud de la amenaza, Solovevich y Sheward, de forma independiente, adquirieron más de 30 dominios similares para evitar que cayeran en manos de atacantes. Sin embargo, se trata de una iniciativa privada que no resuelve el problema sistémico.
Recomendaciones prácticas
Para evitar el envío involuntario de datos a dominios ajenos:
- Audite las direcciones placeholder. Revise todas las configuraciones de sistemas que utilicen direcciones con “noreply”, “donotreply”, “deleteduser” y patrones similares. Asegúrese de que los dominios de esas direcciones pertenecen a su organización.
- Use dominios internos. Para placeholders, emplee dominios propios de la organización (por ejemplo,
[email protected], donde example.com es su dominio) o subdominios que no se enrouten a la red externa. - Use el dominio reservado .invalid. Según RFC 2606, el dominio de nivel superior
.invalidno se resuelve nunca en DNS y no puede recibir correo. Una dirección como[email protected]es segura para usarla como placeholder. - Revise el procedimiento de desactivación de usuarios. Al eliminar cuentas de empleados, no sustituya sus correos electrónicos por placeholders con dominios externos. Elimine por completo la vinculación o rediríjala a una dirección interna.
- Configure la monitorización del correo saliente. Implemente reglas DLP que bloqueen el envío de correos a dominios incluidos en la lista de patrones típicos de placeholders.
Los veinte años de historia de este problema —desde donotreply.com hasta noreply.net y deleteduser.com— muestran que no desaparecerá por sí solo. Cada organización que utilice placeholders de correo electrónico debe comprobar ahora mismo si está enviando datos confidenciales a dominios que no le pertenecen y pasar al uso de sus propios dominios o del TLD reservado .invalid para todas las direcciones placeholder.
