Пентест WEB: практический курс для начинающих
ИБ-исследователь Кори Соловевич (Cory Solovewicz) случайно обнаружил масштабную проблему: компании массово отправляют конфиденциальные данные на адреса в доменах вроде noreply.net, полагая, что такие письма никто не получит. Так как Соловевичу принадлежат домены noreply.us и noreply.net, за полтора года он получил более 400 000 чужих писем.
Издание Wired пишет, что Соловевич приобрел домен noreply.us в 2020 году, а noreply.net — в 2024 году. Изначально он планировал использовать первый домен как catch-all для фильтрации почты и защиты приватности, однако быстро заметил, что на него массово поступают автоматические письма от сторонних сервисов.
Только на noreply.net с декабря 2024 года поступило 401 796 писем (в среднем это почти 700 сообщений в сутки). Причем 28 365 из этих сообщений содержали различные вложения.
«Я случайно создал ханипот. Мне и в голову не приходило, что все это примет такие масштабы», — рассказывает исследователь.
Специалист сообщил, что за последний месяц перед его выступлением на конференции DEF CON оба домена получили более 11 000 писем, и сообщения были отправлены более чем с 14 000 адресов, относящихся к 6200 доменам.
По словам Соловевича, среди писем встречаются отчеты городских служб о травмах, подтверждения заказов пиццы, уведомления о создании аккаунтов на образовательных платформах, заявки на ремонт и учетные данные для тестовых систем.
Предполагается, что в некоторых случаях организации используют адреса вида companyname@noreply.net как заглушки, считая, что такой почтовый ящик попросту не существует. В других случаях системы могут подменять адрес бывшего сотрудника или удаленного пользователя на похожий placeholder, вместо того чтобы полностью удалить аккаунт. Причем избежать таких ситуаций совсем несложно, например, можно использовать внутренние домены или специальный домен .invalid, который гарантированно не существует.
Нужно отметить, что это далеко не новая проблема. К примеру, почти 20 лет назад независимый ИБ-журналист Брайан Кребс (Brian Krebs), тогда работавший в газете Washington Post, писал о том, что компании отправляют миллионы писем на адреса @donotreply.com.
Кроме того, с аналогичной ситуацией недавно столкнулся глава ИБ компании Xeal Майк Шевард (Mike Sheward). В начале 2026 года он приобрел домен deleteduser.com примерно за 15 долларов США и за первый час получил письма от трех организаций. С тех пор Шеварду поступили тысячи сообщений как минимум от 100 компаний, и среди этих писем были данные о заказах Viagra, запросы на согласование отпусков, бронирования гостиниц с полными именами постояльцев и даже приглашения в Zoom от британского госучреждения.
Шевард рассказал, что особенно много данных поступает от неназванной ИИ-компании, которая анализирует соблюдение техники безопасности на промышленных объектах на Ближнем Востоке. Системы этой компании отправили специалисту тысячи кадров, полученных с камер наблюдения.
Осознав масштаб проблемы, Соловевич и Шевард независимо друг от друга купили уже более 30 подобных доменов, чтобы они не попали в руки злоумышленников. Соловевич также проверил 7136 потенциальных placeholder-доменов и обнаружил, что 328 из них настроены как catch-all и могут принимать любую почту.
Исследователи стараются по возможности уведомлять компании об утечках данных и предупреждают, что нельзя просто отправлять письма на email-адреса в домене noreply.net. После этого некоторые организации исправляют свои конфигурации, однако другие не реагируют вовсе.
По словам Соловевича, разбор этих проблем отнимает столько времени, что мог бы стать полноценной работой. При этом исследователь опасается, что случайно обнаруженные им сотни тысяч писем — лишь верхушка айсберга.
