Basta una leggerezza di una società e un ricercatore di sicurezza riceve milioni di email ogni anno. Ecco cosa succede quando non si prende sul serio la riservatezza dei dati e della sicurezza informatica
Se pensate di avere un problema con le email indesiderate, c’è un ricercatore di sicurezza informatica che potrebbe battere una sorta di record mondiale. Cory Solovewicz riceve infatti in media 700 email al giorno. Ma non si tratta del solito spam. A spiegarlo nel corso della conferenza Def Con, come riporta Wired, è lo stesso ricercatore, che nel 2020 e nel 2024 ha acquistato rispettivamente i domini noreply.us e noreply.net.
Le email
A scrivergli, inconsapevolmente, sono aziende e organizzazioni che inviano informazioni private e segreti aziendali di terzi. Solovewicz ha ricevuto persino rapporti sugli infortuni da parte di un’amministrazione comunale, ma anche conferme di ordini di pizza, richieste di assistenza, credenziali per piattaforme di test ed email per la configurazione di account su una piattaforma scolastica. Da dicembre 2024, il solo dominio noreply.net ha raccolto 401.796 messaggi. Se si considera anche noreply.us, il totale arriva a quasi 438 mila email, inviate da oltre 14 mila indirizzi riconducibili a più di 6.200 domini.
Il motivo è legato alla configurazione «catch-all» scelta dal ricercatore: il sistema raccoglie tutti i messaggi destinati a qualsiasi indirizzo che termini con @noreply.us o @noreply.net, indipendentemente da ciò che precede la chiocciola. Il problema, però, non dipende da lui. Sono i sistemi delle aziende a spedire email verso quei domini, spesso con la convinzione che non appartengano a nessuno e che i messaggi siano destinati a sparire. Le cause possono essere diverse. Un sistema può, ad esempio, inviare una comunicazione automatica a un indirizzo come azienda@noreply.net, considerato per errore inesistente. In altri casi, quando un utente cancella il proprio account o un dipendente lascia l’azienda, il suo indirizzo viene sostituito con un dominio usato come segnaposto, anziché essere rimosso o anonimizzato in modo sicuro.
Per esempio: Se un dipendente con e-mail paolino.paperino@azienda.it dovesse licenziarsi, anziché eliminare l’intero campo, un’azienda potrebbe modificare soltanto il dominio. Dunque niente più @azienda.it, ma @noreply.net. Se i sistemi continuano a inviare notifiche a quell’indirizzo, le email non scompaiono, ma vengono anzi inoltrate a Solovewicz. Non è possibile affermare che tutti i messaggi ricevuti dal ricercatore derivino da questa pratica, ma il meccanismo è stato documentato in altri casi simili.
Non una novità
Il problema non è nuovo. Nel 2008 Brian Krebs, allora giornalista del Washington Post, raccontò il caso di Chet Faliszek, proprietario dal 2000 del dominio donotreply.com. Faliszek riceveva milioni di messaggi e risposte a email che le aziende avevano spedito con indirizzi apparentemente fittizi. Tra i contenuti arrivati nelle sue caselle figuravano anche informazioni finanziarie, dati su vulnerabilità informatiche e documenti aziendali.
Più di recente, l’esperto di sicurezza Mike Sheward ha speso circa 15 dollari per registrare il dominio deleteduser.com. Come ha raccontato, nel giro di un’ora aveva già ricevuto email da tre organizzazioni. Nel tempo i messaggi sono diventati migliaia e hanno coinvolto un centinaio di enti. Tra i mittenti figuravano anche aziende di sicurezza informatica e alcuni partner di Microsoft.
L’attività del ricercatore
Ogni volta che riceve una comunicazione del genere, Solovewicz cerca di avvertire le aziende o le organizzazioni coinvolte e di spiegare l’errore di configurazione, che potrebbe provocare fughe di dati e altri problemi sia per le persone interessate sia per le stesse società. In alcuni casi i sistemi sono stati corretti senza una risposta diretta, mentre molti enti non hanno risposto. La fortuna è che a ricevere quei dati sia stato un ricercatore di sicurezza. Ma cosa accadrebbe se le informazioni finissero nelle mani di malintenzionati?
Un problema grave
«Non mi ero reso conto che questo problema si sarebbe rivelato così grave», ha affermato l’informatico, che mantiene il riserbo sulle entità colpite. «Voglio solo che le aziende e le organizzazioni facciano la cosa giusta, che verifichino i propri sistemi e che risolvano i problemi».
«Ci sono molte aziende di sicurezza informatica e anche alcune aziende partner di Microsoft» ha spiegato invece Mike Sheward a Wired. «Un paio di settimane fa ha ricevuto un invito al barbecue estivo di un’azienda di San Francisco, indirizzato a “Gentile Utente Eliminato”». Ed è lui che sostiene come le aziende anziché eliminare gli account inattivi, si limitino a cambiare indirizzo e-mail
Un lavoro a tempo pieno
Solovewicz e Sheward, in modo indipendente, hanno acquistato una trentina di domini, così da limitare le possibilità a malintenzionati di ricevere dettagli e informazioni sensibili per via di errori (voluti oppure no) da parte di enti che non si accorgono del problema. Un problema che potrebbe essere più che redditizio per estorsori e hacker senza scrupoli. Solovewicz ha anche sviluppato un sistema in grado di verificare quanti domini potrebbero avere una configurazione tale per cui possano per ricevere e-mail simili. «Non so dire con precisione quanto sia grave il problema, ma temo che ciò che ho scoperto “accidentalmente” durante la registrazione del mio dominio sia solo la punta dell’iceberg». Un iceberg di grande rilevanza. I domini sono tanti e il tempo per gestire l’attività poco. Per questo, nel corso della conferenza di sicurezza Def Con, il ricercatore ha rivolto un appello affinché le compagnie e le organizzazioni risolvano il problema.
La soluzione, almeno sul piano tecnico, esiste: i servizi possono usare domini interni sotto il proprio controllo oppure il dominio riservato .invalid, creato proprio per indicare indirizzi che non devono esistere. Soprattutto, non dovrebbero mai presumere che un dominio non controllato sia privo di proprietario o che nessuno legga le e-mail inviate a quell’indirizzo.
Per non perdere le ultime novità su tecnologia e innovazione
iscriviti alla newsletter di Login
5 settembre 2026 ( modifica il 5 settembre 2026 | 18:36)
© RIPRODUZIONE RISERVATA