anos, milhares de organizações fizeram, silenciosamente, o equivalente digital de esconder a chave de casa debaixo de um capacho que diz "aqui não mora ninguém". A chave, no caso, é o endereço no-reply@ — aquela caixa postal sem saída que empresas criam para e-mails automáticos que imaginam que ninguém jamais vai ler. Essa suposição, descobriu-se agora, estava perigosamente errada — e dois pesquisadores de segurança passaram a coletar as provas.
O pesquisador Cory Solovewicz e um colega compraram alguns domínios genéricos e baratos que a indústria de e-mail havia, na prática, abandonado. Entre eles estavam noreply.net e deleteduser.com — o tipo de endereço que um sistema automatizado inventa, usa uma vez e esquece. Ao apontar esses domínios para uma infraestrutura de escuta de mensagens, Solovewicz abriu, na prática, uma caixa de entrada para todo o tráfego que o mundo corporativo considerava inalcançável. Não era inalcançável. Chegava.
Os números, reportados pela Wired e repercutidos pela Digital Trends e pela SC Media, são estarrecedores. O noreply.net de Solovewicz — o maior domínio que ele controla — absorveu cerca de 400 mil mensagens no ano e meio em que está sob seu poder, quase 30 mil delas com anexos. Só o noreply.us atraiu dezenas de milhares de mensagens ao longo de vários anos. Já o colega Mike Sheward gastou cerca de US$ 15 no deleteduser.com, um nome que sistemas criam quando um registro de funcionário é apagado, e recebeu mensagens de três organizações diferentes na primeira hora.
Dentro dessas mensagens havia tesouro corporativo em estado bruto: credenciais e dados de login, arquivos de RH e de pessoal, documentos internos e imagens capturadas por câmeras de CFTV. Centenas de empresas, aparentemente convencidas de que seus endereços no-reply eram becos sem saída lacrados, têm encaminhado material sensível direto para as mãos de um estranho — sem hacking, sem phishing, sem nenhum exploit. Só uma caixa postal que ninguém se deu ao trabalho de apagar.
A escala aponta para uma falha sistêmica, e não para um punhado de administradores descuidados. Solovewicz testou mais de 7 mil domínios-lugar-comum semelhantes e encontrou 328 configurados com caixas coringa, o que sugere que o problema real pode ser muito maior do que tudo o que já foi descoberto. A conclusão desconfortável é que a convenção do no-reply não é uma comodidade. É um passivo de segurança permanente — uma porta aberta sem guarda nenhum.
Ela faz parte ainda de uma falha mais ampla de higiene de e-mail, que inclui a falsificação de remetente e a aplicação fraca do DMARC. Muitas organizações seguem sem validação adequada de remetente, então o correio é tratado como mais confiável do que merece, tanto na saída quanto na entrada. Um domínio que deveria ser configurado para rejeitar tudo, em vez disso, aceita quietamente o que cair nele, sem que ninguém observe.
A correção é tão glamourosa quanto um arquivo de escritório: verifique os registros MX, trave ou apague domínios adormecidos e nunca aponte dados reais para um endereço projetado para nunca ser lido. Nada disso é tecnicamente difícil. Exige apenas que as empresas parem de presumir que o vazio está vazio.
Na próxima vez que uma empresa mandar seu arquivo mais sensível para um endereço "no-reply", talvez esteja entregando-o — por design — para quem quer que esteja escutando.
Fontes: Wired, Digital Trends, SC Media
✓ Fontes independentes cruzadas e verificadas antes da publicação
