Исследователь безопасности Кори Соловевич купил домены noreply.us и noreply.net и уже несколько лет получает на свою почту сотни тысяч чужих сообщений, включая корпоративные данные компаний и личную информацию пользователей. За полтора года он получил более 400 000 чужих писем.
Как он рассказал изданию Wired, он приобрел домен noreply.us в 2020 году, а noreply.net — в 2024 году. Изначально он планировал использовать первый домен как сервер catch‑all для фильтрации почты и защиты приватности, однако позже заметил, что на него массово поступают автоматические письма от сторонних сервисов.
Только на noreply.net с декабря 2024 года поступило 401 796 писем (699 сообщений в сутки), 28 365 из них содержали различные вложения. По словам Соловевича, среди писем встречаются отчёты городских служб о травмах, подтверждения заказов пиццы, уведомления о создании аккаунтов на образовательных платформах, заявки на ремонт и учётные данные для тестовых систем.
С аналогичной ситуацией столкнулся глава ИБ‑компании Xeal Майк Шевард. В начале 2026 года он приобрёл домен deleteduser.com за $15 и за первый час получил письма от трёх организаций; за несколько месяцев ему поступили тысячи сообщений как минимум от 100 компаний.
По словам Шеварда, особенно много данных приходит от ИИ‑компании, которая анализирует соблюдение техники безопасности на промышленных объектах на Ближнем Востоке. Системы этой компании отправили специалисту тысячи кадров с камер наблюдения.
Осознав масштаб проблемы, Соловевич и Шевард независимо друг от друга купили уже более 30 подобных доменов, чтобы они не попали в руки злоумышленников. Исследователи стараются по возможности уведомлять компании об утечках данных и предупреждают, что нельзя просто отправлять письма на email‑адреса в домене noreply.net.
Как рассказывал в 2020 году ИБ‑исследователь Брайан Кребс, похожая проблема касается простых, коротких имён учётных записей электронной почты. По его словам, примерно в 2004 году он зарегистрировал короткий адрес и с тех пор получает на него горы писем.
«Моя учётка невольно подписана практически на все существующие сайты знакомств и порнографии. Этого, вероятно, следовало ожидать. Что меня поражает, так это количество финансовых и иных чувствительных сервисов, к которым я мог бы получить доступ, будь я злоумышленником. У моего адреса есть учётные записи, которых я не собирался заводить, в таких сервисах, как H&R Block, Turbotax, TaxAct, iTunes, LastPass, Dashlane, MyPCBackup и Credit. Я уже потерял счёт количеству банков, провайдеров интернета и веб‑хостингов, в которые я могу залогиниться», — рассказал он.
Источник: habr.com