Durante años, miles de organizaciones han hecho, en silencio, el equivalente digital de esconder la llave de casa debajo de un felpudo que reza "aquí no vive nadie". La llave, en este caso, es la dirección no-reply@: ese buzón sin salida que las empresas crean para el correo automático que suponen que nadie va a leer jamás. Esa suposición acaba de demostrarse peligrosamente equivocada, y dos investigadores de seguridad han estado recopilando las pruebas.
El investigador Cory Solovewicz y un colega compraron varios dominios genéricos y baratos que la industria del correo había dejado huérfanos en la práctica. Entre ellos estaban noreply.net y deleteduser.com: el tipo de dirección que un sistema automatizado inventa, usa una vez y luego olvida. Al apuntar esos dominios a una infraestructura de escucha de mensajes, Solovewicz abrió, de facto, un buzón para todo el tráfico que el mundo empresarial daba por inalcanzable. No era inalcanzable. Llegaba.
Las cifras, publicadas por Wired y recogidas por Digital Trends y SC Media, son asombrosas. El noreply.net de Solovewicz — el mayor dominio que controla — ha absorbido cerca de 400.000 mensajes en el año y medio que lleva en su poder, casi 30.000 de ellos con archivos adjuntos. Solo noreply.us ha acumulado decenas de miles de mensajes a lo largo de varios años. Su colega, Mike Sheward, gastó unos 15 dólares en deleteduser.com, un nombre que los sistemas inventan cuando se borra el registro de un empleado, y recibió correo de tres organizaciones distintas en la primera hora.
Dentro de ese correo había tesoro corporativo en estado puro: credenciales y datos de acceso, archivos de recursos humanos y de personal, documentos internos e imágenes captadas por cámaras de videovigilancia. Cientos de empresas, convencidas de que sus direcciones no-reply eran callejones sin salida sellados, han estado enviando material sensible directamente a manos de un desconocido — sin hackeos, sin phishing, sin ningún exploit. Solo un buzón que nadie se molestó en eliminar.
La magnitud apunta a un fallo sistémico, y no a un puñado de administradores descuidados. Solovewicz sondeó más de 7.000 dominios comodín similares y encontró 328 configurados con buzones comodín, lo que sugiere que el problema real podría superar con creces todo lo descubierto hasta ahora. La conclusión incómoda es que la convención del no-reply no es una comodidad. Es un pasivo de seguridad permanente: una puerta abierta sin guardia alguna.
Se suma, además, a un fallo más amplio de higiene del correo que incluye la suplantación del remitente y una aplicación débil del DMARC. Muchas organizaciones carecen aún de una validación adecuada del remitente, de modo que el correo se trata como más confiable de lo que merece, tanto de salida como de entrada. Un dominio que debería estar configurado para rechazarlo todo se limita a aceptar en silencio lo que llega, sin que nadie lo vigile.
La solución es tan emocionante como un archivador: verifica los registros MX, bloquea o elimina los dominios inactivos y nunca dirijas datos reales a una dirección diseñada para no leerse. Nada de esto es técnicamente difícil. Solo exige que las empresas dejen de dar por sentado que el vacío está vacío.
El próximo mensaje que una empresa envíe a una dirección "no-reply" podría ser su archivo más sensible — entregado, por diseño, a quienquiera que esté escuchando.
Fuentes: Wired, Digital Trends, SC Media
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
