{"id":667723,"date":"2026-09-06T09:41:16","date_gmt":"2026-09-06T09:41:16","guid":{"rendered":"https:\/\/www.europesays.com\/it\/667723\/"},"modified":"2026-09-06T09:41:16","modified_gmt":"2026-09-06T09:41:16","slug":"attenzione-agli-indirizzi-che-finiscono-con-noreply-perche-un-ricercatore-riceve-700-email-al-giorno-per-errore","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/it\/667723\/","title":{"rendered":"Attenzione agli indirizzi che finiscono con \u00abnoreply\u00bb: perch\u00e9 un ricercatore riceve 700 email al giorno per errore"},"content":{"rendered":"

Basta una leggerezza di una societ\u00e0 e un ricercatore di sicurezza riceve milioni di email ogni anno. Ecco cosa succede quando non si prende sul serio la riservatezza dei dati e della sicurezza informatica<\/p>\n

Se pensate di avere un problema con le email indesiderate, c\u2019\u00e8 un ricercatore di sicurezza informatica che potrebbe battere una sorta di record mondiale. Cory Solovewicz<\/b> riceve infatti in media 700 email al giorno<\/b>. Ma non si tratta del solito spam. A spiegarlo nel corso della conferenza Def Con, come riporta Wired<\/a>, \u00e8 lo stesso ricercatore, che nel 2020 e nel 2024 ha acquistato rispettivamente i domini noreply.us<\/b> e noreply.net<\/b>.\u00a0<\/p>\n

Le email<\/p>\n

A scrivergli, inconsapevolmente, sono aziende e organizzazioni che inviano informazioni private e segreti aziendali di terzi. Solovewicz ha ricevuto persino rapporti sugli infortuni da parte di un\u2019amministrazione comunale, ma anche conferme di ordini di pizza, richieste di assistenza, credenziali per piattaforme di test ed email per la configurazione di account su una piattaforma scolastica. Da dicembre 2024, il solo dominio noreply.net ha raccolto 401.796 messaggi.\u00a0<\/b>Se si considera anche noreply.us, il totale arriva a quasi 438 mila email, inviate da oltre 14 mila indirizzi riconducibili a pi\u00f9 di 6.200 domini.
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n \n<\/p>\n

Il motivo \u00e8 legato alla configurazione \u00abcatch-all<\/b>\u00bb scelta dal ricercatore: il sistema raccoglie tutti i messaggi destinati a qualsiasi indirizzo che termini con @noreply.us o @noreply.net, indipendentemente da ci\u00f2 che precede la chiocciola<\/b>. Il problema, per\u00f2, non dipende da lui. Sono i sistemi delle aziende a spedire email verso quei domini, spesso con la convinzione che non appartengano a nessuno<\/b> e che i messaggi siano destinati a sparire.\u00a0Le cause possono essere diverse. Un sistema pu\u00f2, ad esempio, inviare una comunicazione automatica a un indirizzo come azienda@noreply.net<\/b>, considerato per errore inesistente. In altri casi, quando un utente cancella il proprio account o un dipendente lascia l\u2019azienda, il suo indirizzo viene sostituito con un dominio usato come segnaposto, anzich\u00e9 essere rimosso<\/b> o anonimizzato in modo sicuro.<\/p>\n

Per esempio:\u00a0Se un dipendente con e-mail paolino.paperino@azienda.it<\/b> dovesse licenziarsi, anzich\u00e9 eliminare l\u2019intero campo, un\u2019azienda potrebbe modificare soltanto il dominio<\/b>. Dunque niente pi\u00f9 @azienda.it, ma @noreply.net<\/b>. Se i sistemi continuano a inviare notifiche a quell\u2019indirizzo, le email non scompaiono, ma vengono anzi inoltrate a Solovewicz. Non \u00e8 possibile affermare che tutti i messaggi ricevuti dal ricercatore derivino da questa pratica, ma il meccanismo \u00e8 stato documentato in altri casi simili.<\/p>\n

Non una novit\u00e0<\/p>\n

Il problema non \u00e8 nuovo. Nel 2008 Brian Krebs<\/b>, allora giornalista del Washington Post, raccont\u00f2 il caso di Chet Faliszek<\/b>, proprietario dal 2000 del dominio donotreply.com<\/b>. Faliszek riceveva milioni di messaggi e risposte a email che le aziende avevano spedito con indirizzi apparentemente fittizi. Tra i contenuti arrivati nelle sue caselle figuravano anche informazioni finanziarie, dati su vulnerabilit\u00e0 informatiche e documenti aziendali.<\/p>\n

Pi\u00f9 di recente, l\u2019esperto di sicurezza Mike Sheward <\/b>ha speso circa 15 dollari per registrare il dominio deleteduser.com<\/b>. Come ha raccontato, nel giro di un\u2019ora aveva gi\u00e0 ricevuto email da tre organizzazioni. Nel tempo i messaggi sono diventati migliaia e hanno coinvolto un centinaio di enti. Tra i mittenti figuravano anche aziende di sicurezza informatica e alcuni partner di Microsoft<\/b>.<\/p>\n

L’attivit\u00e0 del ricercatore<\/p>\n

Ogni volta che riceve una comunicazione del genere, Solovewicz cerca di avvertire le aziende o le organizzazioni coinvolte<\/b> e di spiegare l\u2019errore di configurazione, che potrebbe provocare fughe di dati e altri problemi sia per le persone interessate sia per le stesse societ\u00e0. In alcuni casi i sistemi sono stati corretti senza una risposta diretta, mentre molti enti non hanno risposto<\/b>. La fortuna \u00e8 che a ricevere quei dati sia stato un ricercatore di sicurezza. Ma cosa accadrebbe se le informazioni finissero nelle mani di malintenzionati?<\/b><\/p>\n

Un problema grave<\/p>\n

\u00abNon mi ero reso conto che questo problema si sarebbe rivelato cos\u00ec grave\u00bb, ha affermato l\u2019informatico, che mantiene il riserbo sulle entit\u00e0 colpite. \u00abVoglio solo che le aziende e le organizzazioni facciano la cosa giusta, che verifichino i propri sistemi e che risolvano i problemi\u00bb.\u00a0<\/p>\n

\u00abCi sono molte aziende di sicurezza informatica e anche alcune aziende partner di Microsoft\u00bb ha spiegato invece Mike Sheward a Wired. \u00abUn paio di settimane fa ha ricevuto un invito al barbecue estivo di un’azienda di San Francisco, indirizzato a “Gentile Utente Eliminato”\u00bb. Ed \u00e8 lui che sostiene come le aziende anzich\u00e9 eliminare gli account inattivi, si limitino a cambiare indirizzo e-mail<\/p>\n

Un lavoro a tempo pieno<\/p>\n

Solovewicz e Sheward, in modo indipendente, hanno acquistato una trentina di domini, cos\u00ec da limitare le possibilit\u00e0 a malintenzionati di ricevere dettagli e informazioni sensibili per via di errori (voluti oppure no) da parte di enti che non si accorgono del problema. Un problema che potrebbe essere pi\u00f9 che redditizio per estorsori e hacker senza scrupoli.\u00a0Solovewicz ha anche sviluppato un sistema in grado di verificare quanti domini potrebbero avere una configurazione tale per cui possano per ricevere e-mail simili. \u00abNon so dire con precisione quanto sia grave il problema, ma temo che ci\u00f2 che ho scoperto “accidentalmente” durante la registrazione del mio dominio sia solo la punta dell’iceberg\u00bb. Un iceberg di grande rilevanza. I domini sono tanti e il tempo per gestire l\u2019attivit\u00e0 poco. Per questo, nel corso della conferenza di sicurezza Def Con, il ricercatore ha rivolto un appello affinch\u00e9 le compagnie e le organizzazioni risolvano il problema.<\/p>\n

La soluzione, almeno sul piano tecnico, esiste: i servizi possono usare domini interni sotto il proprio controllo oppure il dominio riservato .invalid<\/b>, creato proprio per indicare indirizzi che non devono esistere. Soprattutto, non dovrebbero mai presumere che un dominio non controllato sia privo di proprietario o che nessuno legga le e-mail inviate a quell\u2019indirizzo<\/b>.<\/p>\n

Per non perdere le ultime novit\u00e0 su tecnologia e innovazione
iscriviti alla newsletter di Login<\/a><\/p>\n

5 settembre 2026 ( modifica il 5 settembre 2026 | 18:36)<\/p>\n

\n \u00a9 RIPRODUZIONE RISERVATA\n <\/p>\n","protected":false},"excerpt":{"rendered":"Basta una leggerezza di una societ\u00e0 e un ricercatore di sicurezza riceve milioni di email ogni anno. Ecco…\n","protected":false},"author":3,"featured_media":667724,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[173],"tags":[2719,3470,34006,367929,1498,4072,367930,11256,5609,367925,367931,367932,1045,483,555,11693,877,14192,790,218364,728,348012,33347,7349,60663,21885,21326,2645,19440,6196,367933,367934,830,131309,45527,38384,27165,1173,46528,1537,90,89,8196,8797,7791,367922,367924,367926,3397,1885,29439,367927,7569,19037,1401,195,198,199,197,200,201,367928,863,17081,2099,6341,367923,194,196,7379],"class_list":["post-667723","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scienza-e-tecnologia","tag-account","tag-acquistato","tag-anziche","tag-anziche-eliminare","tag-attivita","tag-azienda","tag-azienda-it","tag-aziendali","tag-aziende","tag-aziende-organizzazioni","tag-aziende-sicurezza","tag-aziende-sicurezza-informatica","tag-casi","tag-cio","tag-com","tag-comunicazione","tag-conferenza","tag-configurazione","tag-corso","tag-corso-conferenza","tag-dati","tag-def","tag-destinati","tag-dipendente","tag-domini","tag-dominio","tag-eliminare","tag-email","tag-enti","tag-errore","tag-faliszek","tag-figuravano","tag-grave","tag-iceberg","tag-indirizzi","tag-indirizzo","tag-informatica","tag-informazioni","tag-inviare","tag-it","tag-italia","tag-italy","tag-mail","tag-messaggi","tag-net","tag-noreply","tag-noreply-net","tag-noreply-us","tag-organizzazioni","tag-problema","tag-ricercatore","tag-ricercatore-sicurezza","tag-riceve","tag-ricevere","tag-ricevuto","tag-science","tag-science-and-technology","tag-scienceandtechnology","tag-scienza","tag-scienza-e-tecnologia","tag-scienzaetecnologia","tag-sheward","tag-sicurezza","tag-sicurezza-informatica","tag-sistema","tag-sistemi","tag-solovewicz","tag-technology","tag-tecnologia","tag-us"],"share_on_mastodon":{"url":"","error":"Validation failed: Text character limit of 500 exceeded"},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/posts\/667723","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/comments?post=667723"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/posts\/667723\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/media\/667724"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/media?parent=667723"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/categories?post=667723"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/tags?post=667723"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}