Este extraño fallo de correo electrónico está filtrando secretos corporativos a cualquiera que compre el dominio correcto.

      Los investigadores de seguridad descubrieron que las empresas están enviando accidentalmente correos electrónicos sensibles a dominios que los externos pueden registrar.

      No siempre es necesario hackear los sistemas de una empresa para obtener sus secretos. A veces, la empresa simplemente te los enviará por correo electrónico. Un nuevo informe de Matt Burgess de WIRED ha descubierto un extraño problema de seguridad en el correo electrónico en el que las empresas están enviando inadvertidamente información sensible a dominios que pueden ser registrados y controlados por externos. Los investigadores de seguridad Cory Solovevich y Mike Sheward descubrieron que direcciones aparentemente inofensivas como noreply y deleteduser pueden convertirse en puertas de entrada inesperadas a la información corporativa cuando los dominios detrás de ellas no están controlados adecuadamente.

      El "hack" es comprar el dominio correcto

      La parte preocupante es que esto no requiere un hacking sofisticado. Solovevich descubrió que dominios como noreply.net y noreply.us estaban recibiendo enormes volúmenes de correos electrónicos que las empresas presumiblemente pensaban que desaparecerían en el vacío.

      En lugar de eso, esos mensajes aterrizaron en una bandeja de entrada que él controlaba. WIRED informa que noreply.net recibió más de 400,000 mensajes en un año y medio, incluidos más de 28,000 archivos adjuntos. Los correos electrónicos variaban desde notificaciones ordinarias hasta información de empleados y otros datos comerciales sensibles.

      Sheward se encontró con un problema similar después de comprar deleteduser.com, recibiendo miles de correos electrónicos no deseados que contenían información como solicitudes de vacaciones laborales, reservas de hotel, nombres de empleados e invitaciones a reuniones de Zoom. El problema subyacente es bastante simple. Las empresas a veces utilizan direcciones de marcador de posición para cuentas que ya no existen, asumiendo que nadie puede acceder al destino. Pero si el dominio asociado ya no está controlado por la organización y alguien más lo registra, esos correos electrónicos supuestamente sin salida pueden de repente tener un destinatario muy real.

      Esto va mucho más allá de unos pocos correos electrónicos perdidos

      Los investigadores encontraron que el problema podría ser generalizado. Solovevich identificó 7,136 dominios configurados para recibir correos electrónicos, incluidos 328 con bandejas de entrada de captura que pueden aceptar mensajes enviados a diferentes direcciones dentro de esos dominios. Eso no significa que todos estos dominios estén filtrando activamente información sensible, pero resalta cuán fácilmente las configuraciones de correo electrónico olvidadas pueden convertirse en un problema de seguridad.

      Afortunadamente, Solovevich y Sheward han estado notificando a las organizaciones afectadas en lugar de simplemente explotar la información que reciben. Solovevich también ha comprado más de 30 dominios para evitar que actores maliciosos se aprovechen del mismo problema.

      La lección más grande de la investigación de WIRED es casi vergonzosamente simple: una dirección de correo electrónico no es un agujero negro solo porque una empresa lo piense. Las organizaciones pueden gastar millones protegiendo sus redes de ataques sofisticados, pero si los correos electrónicos sensibles siguen siendo enviados a dominios que alguien más puede comprar, a veces la forma más fácil de acceder a los secretos de una empresa es simplemente poseer la pieza correcta de bienes raíces en internet.