「返信不要」メールに機密情報が常に入っている。この男はすべてを見ている

Cory Solovewicz氏は、あなたよりも多くの不要なメールを受け取っています。本気で、それははるかに多いです。2024年12月以来、彼がメールを受け取るドメインの1つは、彼の計算によると1日に平均699.99件の着信を記録しています。 この洪水は、多くの人の受信トレイを埋める通常のスパム、ニュースレター、不要なセールスの洪水ではありません。代わりに、企業やその他の組織は、意図せずにSolovewicz氏に他人の個人情報や企業秘密を送っています。過去数年間、彼は市役所からの負傷報告、ピザの注文確認、学校プラットフォームからのアカウント設定メールを受け取ってきました。「修理が必要な人々のサービス注文を受け取ります。テストプラットフォームの認証情報もたくさん受け取ります」と、セキュリティ研究者兼コンサルタントであるSolovewicz氏は述べています。 Solovewicz氏は、2020年と2024年にそれぞれ購入したドメインnoreply.usおよびnoreply.netの所有者であるため、メッセージの雪崩を受け取っています。当初はnoreply.usドメインを、メッセージをフィルタリングしてプライバシーを強化するためのキャッチオールメール（そのドメインのあらゆる@アドレスに送信されたメールを受信する）として使用する予定でしたが、すぐに他のシステムが@noreply.usアドレスにメールを送信していることに気づきました。「意図しないハニーポットを作ってしまったのです」とSolovewicz氏はWIREDに語っています。「これがこうなるとは全く知りませんでした。」 企業は、[companyname]@noreply.netや類似のバリエーションにメールを送信する可能性がありますが、それはどこにも行かない、または監視されないと考えているかもしれません。広範には、誰かが会社を辞めたりアカウントを削除したりした場合に、個人のメールアドレスをこれらのプレースホルダー風ドメインに送信するように変換する可能性もあります。 個人的なメールプロジェクトとして始まったことは、企業やその他のグループが内部システムを誤設定しており、機密情報を誤って共有していることを警告するための大規模な取り組みになりました。昨日Defconセキュリティカンファレンスで自身の研究を発表したSolovewicz氏は、最終的には犯罪ハッカーや国家がデータを悪用する可能性があったことを考えると、これらのドメインを所有することになって安心したと述べています。「これがこれほど大きな問題になるとは思っていませんでした」と、影響を受けたエンティティの名前を公表していないSolovewicz氏は述べています。研究者は、問題のある企業に連絡し、エラーや誤設定を修正するように奨励しています。「私はただ、企業や組織が正しいことを行い、システムを監査して修正してくれることを願っています。」 Solovewicz氏によると、noreply.netドメインは彼が所有する中で最大のもので、所有してから1年半で40万通のメッセージを受け取り、そのうち28,365通には添付ファイルが含まれていました。noreply.usドメインは、2020年に購入して以来2,345日間で37,255通のメッセージを受け取っています。カンファレンストーク前の1ヶ月間では、合計で11,000通以上のメッセージを受け取りました。全体として、メッセージは14,000以上の「送信元」アドレス、6,200のルートドメインから送信されています。研究者によると、メッセージは人間が書いたものではなく、企業のシステムによって自動化されています。 この問題が新しいものではないとしても—ほぼ20年前に、独立系セキュリティジャーナリストのBrian Krebs氏（当時ワシントン・ポストに勤務）が、企業が@donotreply.comメールに数百万通のメッセージを送信していたと報じました—それは本質的に回避可能です。例えば、企業は社内ドメインや、存在しないことが保証されている.invalidドメインを使用できます。 Solovewicz氏は、企業のデータ—しばしば大企業—を保護するのに役立つこの自発的な取り組みで孤立していません。今年初め、EV充電会社Xealのセキュリティ責任者であるMike Sheward氏は、約15ドルを費やしてdeleteduser.comドメインを購入しました。「最初の1時間で、@deleteduser.comにメールを送信してきた3つの異なる組織がありました」とSheward氏はWIREDに語り、企業はアカウントをシステムから完全に削除するのではなく、単にメールアドレスを変更しているように見えると指摘しています。 Solovewicz氏と同様に、Sheward氏は現在所有している複数のドメインを通じて、少なくとも100の異なる組織から数千通の意図しないメールを受け取っています。彼は、人々のViagra注文の詳細なメール、休暇や休職の承認を求めるメッセージ、氏名を含むホテルの予約、そして英国政府機関からのZoom会議への招待状を受け取ってきました。「多くのサイバーセキュリティ企業や、いくつかのMicrosoftパートナー企業もあります」とSheward氏は述べています。数週間前、彼はサンフランシスコの企業が主催するサマーバーベキューへの招待状を受け取りました。宛先は「Deleted User様」でした。 Sheward氏が名前を挙げずに指摘する最も頻繁な送信元の一つは、中東の産業現場で安全プロトコルに従っていない可能性のある作業員を検出するオブジェクト認識技術を使用しているAI企業です。研究者は、その企業から数千枚のCCTVスチル画像を受け取ったと述べています。「私はインターネットのゴミ箱の良い番人になっていますが、もし私が悪い番人だったら、私の顔に喜んで投げつけられたこの情報がどのように悪用される可能性があるかは、容易に想像できます」と彼は4月にMediumの記事に書いています。 Solovewicz氏とSheward氏の両方が、誤置かれたメールの潜在的な規模と、ハッカーや恐喝者にとってデータがどれほどの金脈になるかを認識したとき、彼らは独立して行動し、悪意のあるアクターがアプローチを模倣する可能性を制限するために30以上のドメインを購入しました。 Defconでの講演の一部として、Solovewicz氏は他の可能性のあるプレースホルダー ドメインがメールを受信するように設定されているかどうかをテストするためのプローブを構築していると説明しました。「7,136のドメインをスキャンしましたが、328がキャッチオール受信トレイが設定されていると特定されました」とSolovewicz氏は述べています。「問題の規模がどれほど大きいかはわかりませんが、私の懸念は、私がドメインを登録したときに『偶然』見つけたものが氷山の一角に過ぎないということです。」 両研究者とも、可能な限り、システムが誤設定されておりメールを送信している企業に通知していると述べています。結果はまちまちです。一部の組織は静かに問題を修正したようですが、他の多くの組織は返信しておらず、問題の規模の大きさから、影響を受けたすべての企業に通知することは困難です。「あまりにも多いです」とSolovewicz氏は述べ、ドメインが監視されていないと仮定すべきではないと強調しています。「私は、これを処理するにはフルタイムの仕事になるだろうという段階にいます。それが私がこのことについて話す動機の一部です。これは私の責任ある開示です。皆さんはシステムを修正し、これをやめ、顧客データや従業員データ、そして自身の内部データを漏洩しないようにする必要があります。」