SG.hu·
Egy kutató megvette a noreply.net domént, a cégek pedig elkezdtek titkokat küldeni neki
A vállalatok egyes e-mail-domaineket digitális szemetesládaként kezelnek, annak ellenére, hogy ez komoly kockázatokkal jár.
Cory Solovewicz több kéretlen e-mailt kap, mint te. Sokkal többet. 2024 decembere óta az egyik doménre, amelyen keresztül a biztonsági kutató e-maileket fogad, 401 796 üzenet érkezett. Saját számításai szerint ez naponta átlagosan 700 üzenetet jelent. Ez az özön nem az a szokásos spam-, hírlevél- és kéretlen ajánlatáradat, amely sok ember postaládáját megtölti. Ehelyett vállalatok és más szervezetek akaratlanul személyes adatokat és vállalati titkokat küldenek el Solovewicznek. Az elmúlt néhány évben kapott már jelentéseket egy önkormányzattól, emberek pizzarendeléseinek visszaigazolásait, valamint egy iskolai platformhoz tartozó fiók létrehozásáról szóló e-maileket is. „Szervizmegrendeléseket kapok olyan emberektől, akiknek javításra van szükségük. Rengeteg tesztplatformhoz tartozó hitelesítő adatot kapok” - mondja Solovewicz, aki biztonsági kutató és tanácsadó.
Solovewicz azért kapja ezt a lavinányi üzenetet, mert ő a noreply.us és a noreply.net domainek tulajdonosa. Előbbit 2020-ban, utóbbit 2024-ben vásárolta meg. Eredetileg azt tervezte, hogy a noreply.us domaint gyűjtő e-mail-címként használja - vagyis olyan címként, amely az adott domain bármely @ utáni címére küldött leveleket fogadja -, hogy kiszűrje az üzeneteket és növelje a saját adatvédelmét. A kutató azonban hamar észrevette, hogy más rendszerek is a @noreply.us címekre küldenek leveleket. „Véletlenül létrehoztam egy mézesbödönt” - mondja Solovewicz. „Fogalmam sem volt róla, hogy ebből ekkora dolog lesz.”
Előfordulhat, hogy egyes vállalatok cégné[email protected] címre vagy ehhez hasonló változatokra küldenek e-maileket, abban a hitben, hogy ezek az üzenetek nem jutnak el sehová, vagy semmilyen módon nem lehet őket megfigyelni. Általánosságban az is lehetséges, hogy egy személy egyedi e-mail-címét egy ilyen helyőrző jellegű domainre alakítják át, ha az illető kilép a vállalattól vagy törli a fiókját.
Ami személyes e-mail-projektként indult, mára nagyszabású erőfeszítéssé vált annak érdekében, hogy figyelmeztesse a vállalatokat és más szervezeteket: belső rendszereiket rosszul konfigurálták, és emiatt akaratlanul érzékeny információkat osztanak meg. Solovewicz - aki tegnap a Defcon biztonsági konferencián mutatta be munkáját - azt mondja, végső soron megkönnyebbült, hogy a domének hozzá kerültek, és nem bűnöző hackerekhez vagy nemzetállamokhoz, amelyek rosszindulatúan felhasználhatták volna az adatokat. „Nem gondoltam volna, hogy ez ekkora probléma lesz” - mondja Solovewicz, aki nem nevezi meg nyilvánosan az érintett szervezeteket. A kutató értesíti az érintett vállalatokat a problémáikról, és arra ösztönzi őket, hogy javítsák ki a hibákat és a hibás konfigurációkat. „Csak azt szeretném, hogy a vállalatok és szervezetek helyesen járjanak el, ellenőrizzék a rendszereiket, és javítsák ki a problémáikat.”
Solovewicz szerint a noreply.net a legnagyobb domén, amelynek tulajdonosa, és az azóta eltelt másfél évben, hogy megszerezte, 400 000 üzenet érkezett rá. Ezek közül 28 365 tartalmazott mellékletet. A noreply.us doménre 37 255 üzenetet küldtek a megvásárlása óta eltelt 2345 nap alatt. A konferencia-előadását megelőző egy hónapban a két domén együttesen több mint 11 000 üzenetet kapott. Összességében több mint 14 000 különböző „from” címről, vagyis feladóként megadott címről érkeztek e-mailek, amelyek 6200 gyökérdoménhez tartoztak. A kutató szerint az üzeneteket a vállalati rendszerek automatikusan generálják, nem emberek írják őket.
Bár a probléma nem új - csaknem húsz évvel ezelőtt Brian Krebs független kiberbiztonsági újságíró arról írt, hogy vállalatok milliószámra küldtek üzeneteket a @donotreply.com címekre -, alapvetően elkerülhető lenne. A vállalatok például használhatnának belső domaineket, vagy olyan címet, amelyről garantáltan tudható, hogy nem létezik. Solovewicz nincs egyedül ezzel az önként vállalt feladattal, amely gyakran nagyvállalatok adatainak védelmét is segíti. Az év elején Mike Sheward, a Xeal elektromosautó-töltéssel foglalkozó vállalat biztonsági vezetője körülbelül 15 dollárért megvásárolta a deleteduser.com domaint. „Már az első órában belül három különböző szervezet is küldött valamit a @deleteduser.com címre” - mondja Sheward, rámutatva arra, hogy úgy tűnik, a vállalatok egyszerűen megváltoztatják az e-mail-címeket, ahelyett hogy teljesen törölnék a fiókokat a rendszereikből.
Solovewiczhez hasonlóan Sheward is több ezer nem szándékosan elküldött e-mailt kapott legalább 100 különböző szervezettől az általa időközben megszerzett több doménen keresztül. Kapott olyan e-maileket, amelyek emberek Viagra-rendeléseinek részleteit tartalmazták, olyan üzeneteket, amelyekben arra kérték, hogy hagyja jóvá emberek munkahelyi szabadságát vagy távollétét, teljes neveket tartalmazó szállodai foglalásokat, valamint egy brit kormányzati szervtől Zoom-megbeszélésekre szóló meghívókat. „Sok kiberbiztonsági vállalat van közöttük, és néhány Microsoft-partnervállalat is” - mondja Sheward. Néhány héttel ezelőtt pedig meghívót kapott egy San Franciscó-i vállalat nyári grillpartijára, amelyet a „Kedves Törölt Felhasználó” megszólítással címeztek neki.
Sheward szerint az egyik leggyakoribb e-mail-forrás - a vállalatot nem nevezte meg - egy MI-vállalat, amely objektumfelismerő technológiát használ annak megállapítására, hogy a közel-keleti ipari létesítményekben dolgozó munkások közül kik lehetnek azok, akik nem tartják be a biztonsági előírásokat. A kutató elmondása szerint több ezer CCTV-felvételt, illetve biztonsági kamera által készített állóképet kapott a vállalattól. „Én az internetes szemétdomb jó őrzője vagyok - de ha rossz őrző lettem volna, nem nehéz elképzelni, hogyan lehetne visszaélni ezekkel az információkkal, amelyeket önként az arcomba dobnak” - írta áprilisban egy bejegyzésben.
Miután Solovewicz és Sheward is felismerte a félreküldött e-mailekben rejlő potenciális méretet - és azt, hogy az adatok milyen aranybányát jelenthetnének hackerek és zsarolók számára -, egymástól függetlenül több mint 30 domaint vásároltak meg, hogy megpróbálják korlátozni annak lehetőségét, hogy rosszindulatú szereplők lemásolják ezt a módszert. Defcon-előadásának részeként Solovewicz elmondta, hogy olyan vizsgálati eszközt épít, amellyel azt teszteli, hogy más lehetséges helyőrző doméneket is úgy konfiguráltak-e, hogy e-maileket fogadjanak. „7136 domaint vizsgáltam át, és ezek közül 328 esetében azonosítottuk, hogy gyűjtő postafiókok vannak beállítva” - mondja Solovewicz. „Nem tudom biztosan megmondani, mekkora probléma ez, de attól tartok, hogy amit a doménem regisztrálásakor 'véletlenül' felfedeztem, az csak a jéghegy csúcsa.”
Mindkét kutató azt mondja, hogy ahol csak lehetett, értesítették azokat a vállalatokat, amelyeknek a rendszerei hibásan vannak konfigurálva, és emiatt e-maileket küldenek nekik. Az eredmények vegyesek voltak. Egyes szervezetek láthatóan csendben kijavították a problémákat, sokan mások azonban nem válaszoltak, és a probléma puszta mérete miatt is nehéz minden érintettet értesíteni. „Ez már túl sok” - mondja Solovewicz, hangsúlyozva, hogy senkinek sem szabad abból kiindulnia, hogy egy domain mögött senki sem figyeli az üzeneteket. „Mostanra eljutottam oda, hogy minden egyes ilyen eset kezelése már teljes munkaidős állás lenne - részben ezért beszélek erről, ez az én felelős hibafeltárásom. Ki kell javítaniuk a rendszereiket, és nem szabad ezt csinálniuk, nem szabad kiszivárogtatniuk az ügyfeleik adatait, a munkavállalóik adatait és a saját belső adataikat.”
Cory Solovewicz több kéretlen e-mailt kap, mint te. Sokkal többet. 2024 decembere óta az egyik doménre, amelyen keresztül a biztonsági kutató e-maileket fogad, 401 796 üzenet érkezett. Saját számításai szerint ez naponta átlagosan 700 üzenetet jelent. Ez az özön nem az a szokásos spam-, hírlevél- és kéretlen ajánlatáradat, amely sok ember postaládáját megtölti. Ehelyett vállalatok és más szervezetek akaratlanul személyes adatokat és vállalati titkokat küldenek el Solovewicznek. Az elmúlt néhány évben kapott már jelentéseket egy önkormányzattól, emberek pizzarendeléseinek visszaigazolásait, valamint egy iskolai platformhoz tartozó fiók létrehozásáról szóló e-maileket is. „Szervizmegrendeléseket kapok olyan emberektől, akiknek javításra van szükségük. Rengeteg tesztplatformhoz tartozó hitelesítő adatot kapok” - mondja Solovewicz, aki biztonsági kutató és tanácsadó.
Solovewicz azért kapja ezt a lavinányi üzenetet, mert ő a noreply.us és a noreply.net domainek tulajdonosa. Előbbit 2020-ban, utóbbit 2024-ben vásárolta meg. Eredetileg azt tervezte, hogy a noreply.us domaint gyűjtő e-mail-címként használja - vagyis olyan címként, amely az adott domain bármely @ utáni címére küldött leveleket fogadja -, hogy kiszűrje az üzeneteket és növelje a saját adatvédelmét. A kutató azonban hamar észrevette, hogy más rendszerek is a @noreply.us címekre küldenek leveleket. „Véletlenül létrehoztam egy mézesbödönt” - mondja Solovewicz. „Fogalmam sem volt róla, hogy ebből ekkora dolog lesz.”
Előfordulhat, hogy egyes vállalatok cégné[email protected] címre vagy ehhez hasonló változatokra küldenek e-maileket, abban a hitben, hogy ezek az üzenetek nem jutnak el sehová, vagy semmilyen módon nem lehet őket megfigyelni. Általánosságban az is lehetséges, hogy egy személy egyedi e-mail-címét egy ilyen helyőrző jellegű domainre alakítják át, ha az illető kilép a vállalattól vagy törli a fiókját.
Ami személyes e-mail-projektként indult, mára nagyszabású erőfeszítéssé vált annak érdekében, hogy figyelmeztesse a vállalatokat és más szervezeteket: belső rendszereiket rosszul konfigurálták, és emiatt akaratlanul érzékeny információkat osztanak meg. Solovewicz - aki tegnap a Defcon biztonsági konferencián mutatta be munkáját - azt mondja, végső soron megkönnyebbült, hogy a domének hozzá kerültek, és nem bűnöző hackerekhez vagy nemzetállamokhoz, amelyek rosszindulatúan felhasználhatták volna az adatokat. „Nem gondoltam volna, hogy ez ekkora probléma lesz” - mondja Solovewicz, aki nem nevezi meg nyilvánosan az érintett szervezeteket. A kutató értesíti az érintett vállalatokat a problémáikról, és arra ösztönzi őket, hogy javítsák ki a hibákat és a hibás konfigurációkat. „Csak azt szeretném, hogy a vállalatok és szervezetek helyesen járjanak el, ellenőrizzék a rendszereiket, és javítsák ki a problémáikat.”
Solovewicz szerint a noreply.net a legnagyobb domén, amelynek tulajdonosa, és az azóta eltelt másfél évben, hogy megszerezte, 400 000 üzenet érkezett rá. Ezek közül 28 365 tartalmazott mellékletet. A noreply.us doménre 37 255 üzenetet küldtek a megvásárlása óta eltelt 2345 nap alatt. A konferencia-előadását megelőző egy hónapban a két domén együttesen több mint 11 000 üzenetet kapott. Összességében több mint 14 000 különböző „from” címről, vagyis feladóként megadott címről érkeztek e-mailek, amelyek 6200 gyökérdoménhez tartoztak. A kutató szerint az üzeneteket a vállalati rendszerek automatikusan generálják, nem emberek írják őket.
Bár a probléma nem új - csaknem húsz évvel ezelőtt Brian Krebs független kiberbiztonsági újságíró arról írt, hogy vállalatok milliószámra küldtek üzeneteket a @donotreply.com címekre -, alapvetően elkerülhető lenne. A vállalatok például használhatnának belső domaineket, vagy olyan címet, amelyről garantáltan tudható, hogy nem létezik. Solovewicz nincs egyedül ezzel az önként vállalt feladattal, amely gyakran nagyvállalatok adatainak védelmét is segíti. Az év elején Mike Sheward, a Xeal elektromosautó-töltéssel foglalkozó vállalat biztonsági vezetője körülbelül 15 dollárért megvásárolta a deleteduser.com domaint. „Már az első órában belül három különböző szervezet is küldött valamit a @deleteduser.com címre” - mondja Sheward, rámutatva arra, hogy úgy tűnik, a vállalatok egyszerűen megváltoztatják az e-mail-címeket, ahelyett hogy teljesen törölnék a fiókokat a rendszereikből.
Solovewiczhez hasonlóan Sheward is több ezer nem szándékosan elküldött e-mailt kapott legalább 100 különböző szervezettől az általa időközben megszerzett több doménen keresztül. Kapott olyan e-maileket, amelyek emberek Viagra-rendeléseinek részleteit tartalmazták, olyan üzeneteket, amelyekben arra kérték, hogy hagyja jóvá emberek munkahelyi szabadságát vagy távollétét, teljes neveket tartalmazó szállodai foglalásokat, valamint egy brit kormányzati szervtől Zoom-megbeszélésekre szóló meghívókat. „Sok kiberbiztonsági vállalat van közöttük, és néhány Microsoft-partnervállalat is” - mondja Sheward. Néhány héttel ezelőtt pedig meghívót kapott egy San Franciscó-i vállalat nyári grillpartijára, amelyet a „Kedves Törölt Felhasználó” megszólítással címeztek neki.
Sheward szerint az egyik leggyakoribb e-mail-forrás - a vállalatot nem nevezte meg - egy MI-vállalat, amely objektumfelismerő technológiát használ annak megállapítására, hogy a közel-keleti ipari létesítményekben dolgozó munkások közül kik lehetnek azok, akik nem tartják be a biztonsági előírásokat. A kutató elmondása szerint több ezer CCTV-felvételt, illetve biztonsági kamera által készített állóképet kapott a vállalattól. „Én az internetes szemétdomb jó őrzője vagyok - de ha rossz őrző lettem volna, nem nehéz elképzelni, hogyan lehetne visszaélni ezekkel az információkkal, amelyeket önként az arcomba dobnak” - írta áprilisban egy bejegyzésben.
Miután Solovewicz és Sheward is felismerte a félreküldött e-mailekben rejlő potenciális méretet - és azt, hogy az adatok milyen aranybányát jelenthetnének hackerek és zsarolók számára -, egymástól függetlenül több mint 30 domaint vásároltak meg, hogy megpróbálják korlátozni annak lehetőségét, hogy rosszindulatú szereplők lemásolják ezt a módszert. Defcon-előadásának részeként Solovewicz elmondta, hogy olyan vizsgálati eszközt épít, amellyel azt teszteli, hogy más lehetséges helyőrző doméneket is úgy konfiguráltak-e, hogy e-maileket fogadjanak. „7136 domaint vizsgáltam át, és ezek közül 328 esetében azonosítottuk, hogy gyűjtő postafiókok vannak beállítva” - mondja Solovewicz. „Nem tudom biztosan megmondani, mekkora probléma ez, de attól tartok, hogy amit a doménem regisztrálásakor 'véletlenül' felfedeztem, az csak a jéghegy csúcsa.”
Mindkét kutató azt mondja, hogy ahol csak lehetett, értesítették azokat a vállalatokat, amelyeknek a rendszerei hibásan vannak konfigurálva, és emiatt e-maileket küldenek nekik. Az eredmények vegyesek voltak. Egyes szervezetek láthatóan csendben kijavították a problémákat, sokan mások azonban nem válaszoltak, és a probléma puszta mérete miatt is nehéz minden érintettet értesíteni. „Ez már túl sok” - mondja Solovewicz, hangsúlyozva, hogy senkinek sem szabad abból kiindulnia, hogy egy domain mögött senki sem figyeli az üzeneteket. „Mostanra eljutottam oda, hogy minden egyes ilyen eset kezelése már teljes munkaidős állás lenne - részben ezért beszélek erről, ez az én felelős hibafeltárásom. Ki kell javítaniuk a rendszereiket, és nem szabad ezt csinálniuk, nem szabad kiszivárogtatniuk az ügyfeleik adatait, a munkavállalóik adatait és a saját belső adataikat.”