Beveiligingsonderzoekers Cory Solovewicz en Mike Sheward hebben onthuld dat veel organisaties per ongeluk privacygevoelige informatie en bedrijfsgeheimen versturen naar placeholder-domeinen zoals noreply.net, noreply.us en deleteduser.com. Bedrijven maken vaak de fout om deze domeinen te gebruiken als 'digitale vuilnisbakken' of placeholders voor verwijderde accounts, in de veronderstelling dat de e-mails nergens aankomen.
De schaal van het probleem is aanzienlijk: Solovewicz ontving op één domein alleen al meer dan 400.000 berichten. De gelekte data varieert van letselrapporten en inloggegevens tot hotelboekingen en zelfs CCTV-stilbeelden van een AI-bedrijf. Om te voorkomen dat criminelen deze data misbruiken, hebben de onderzoekers in totaal meer dan 30 soortgelijke domeinen aangekocht. Ze adviseren bedrijven dringend om hun systemen te auditen en gebruik te maken van interne domeinen of het .invalid-domein om dergelijke datalekken te voorkomen.
Gevoelige informatie belandt constant in 'no reply'-e-mails. Deze man ziet het allemaal
Cory Solovewicz ontvangt meer ongewenste e-mails dan u. Serieus—het is er veel meer. Sinds december 2024 heeft een van de domeinen waarop de beveiligingsonderzoeker e-mail ontvangt, 401.796 berichten geregistreerd. Volgens zijn berekeningen is dat gemiddeld 699,99 berichten per dag.
Deze vloed is niet de gebruikelijke stroom spam, nieuwsbrieven en ongewenste aanbiedingen die veel mensen in hun inbox vinden. In plaats daarvan sturen bedrijven en andere organisaties onbedoeld privégegevens van anderen en bedrijfsgeheimen naar Solovewicz. De afgelopen jaren heeft hij letselrapporten van een gemeentebestuur ontvangen, bevestigingen van pizza-bestellingen en e-mails voor het instellen van accounts van een schoolplatform. "Ik krijg serviceorders voor mensen die reparaties nodig hebben. Ik krijg veel inloggegevens van testplatforms," zegt Solovewicz, beveiligingsonderzoeker en consultant.
Een onbedoelde honeypot
Solovewicz ontvangt deze lawine aan berichten omdat hij de eigenaar is van de domeinen noreply.us en noreply.net, die hij respectievelijk in 2020 en 2024 heeft aangeschaft. Oorspronkelijk was het plan om het noreply.us-domein te gebruiken als een catch-all e-mailadres—dat alle mail ontvangt die naar elk willekeurig @-adres op dat domein wordt gestuurd—om berichten te filteren en zijn privacy te verbeteren. De onderzoeker merkte echter al snel op dat andere systemen mail stuurden naar @noreply.us-adressen. "Ik heb per ongeluk een honeypot gecreëerd," vertelt Solovewicz aan WIRED. "Ik had geen idee dat het dit zou worden."
Bedrijven kunnen e-mails sturen naar [bedrijfsnaam]@noreply.net of soortgelijke variaties in de veronderstelling dat deze nergens heen gaan of op geen enkele manier gemonitord kunnen worden. In bredere zin is het ook mogelijk dat ze een individueel e-mailadres van een persoon omzetten naar een van deze placeholder-domeinen als iemand het bedrijf verlaat of zijn account verwijdert.
Wat begon als een persoonlijk e-mailproject, is uitgegroeid tot een grootschalige inspanning om bedrijven en andere groepen te waarschuwen dat hun interne systemen verkeerd zijn geconfigureerd en dat ze per ongeluk gevoelige informatie delen. Solovewicz, die zijn werk gisteren presenteerde op de Defcon-beveiligingsconferentie, zegt dat hij uiteindelijk opgelucht is dat hij de domeinen in handen heeft gekregen in plaats van criminele hackers of natiestaten die de data kwaadaardig zouden kunnen gebruiken.
"Ik realiseerde me niet dat dit zo'n groot probleem zou worden," zegt Solovewicz, die de getroffen entiteiten niet publiekelijk noemt. De onderzoeker heeft de betrokken bedrijven gewaarschuwd voor hun problemen en hen aangemoedigd de fouten en misconfiguraties te herstellen. "Ik wil gewoon dat bedrijven en organisaties het juiste doen, hun systemen auditen en hun zaken op orde brengen."
De schaal van het probleem
Solovewicz geeft aan dat het noreply.net-domein het grootste is dat hij bezit; dit heeft in de anderhalf jaar dat hij het bezit 400.000 berichten ontvangen, waarvan er 28.365 bijlagen bevatten. Het noreply.us-domein heeft sinds aankoop in 2020 in totaal 37.255 berichten ontvangen over een periode van 2.345 dagen. In de maand voorafgaand aan zijn presentatie op de conferentie hebben beide domeinen samen meer dan 11.000 berichten ontvangen. In totaal zijn er e-mails verzonden vanaf meer dan 14.000 'afzenderadressen', afkomstig van 6.200 rootdomeinen. De onderzoeker benadrukt dat de berichten geautomatiseerd door bedrijfssystemen worden verzonden en niet door mensen zijn geschreven.
Hoewel het probleem niet nieuw is—bijna 20 jaar geleden schreef onafhankelijk beveiligingsjournalist Brian Krebs, destijds werkzaam bij de Washington Post, over hoe bedrijven miljoenen berichten stuurden naar @donotreply.com-e-mails—is het inherent vermijdbaar. Bedrijven zouden bijvoorbeeld interne domeinen kunnen gebruiken of het .invalid-domein, waarvan gegarandeerd is dat het niet bestaat.
Andere voorbeelden van datalekken
Solovewicz is niet de enige in dit vrijwillige streven om gegevens van bedrijven—vaak grote organisaties—te beschermen. Begin dit jaar besteedde Mike Sheward, hoofd beveiliging bij het EV-laadbedrijf Xeal, ongeveer 15 dollar aan de aankoop van het domein deleteduser.com. "Binnen het eerste uur waren er drie verschillende organisaties die dingen hadden gemaild naar @deleteduser.com," vertelt Sheward aan WIRED. Hij merkt op dat bedrijven e-mailadressen simpelweg lijken te wijzigen in plaats van accounts volledig uit hun systemen te verwijderen.
Net als Solovewicz heeft Sheward duizenden onbedoelde e-mails ontvangen van ten minste 100 verschillende organisaties via meerdere domeinen die hij nu bezit. Hij ontving onder andere:
- E-mails met details over Viagra-bestellingen;
- Berichten waarin hem wordt gevraagd om vakanties of verlof van werknemers goed te keuren;
- Hotelboekingen inclusief volledige namen;
- Uitnodigingen voor Zoom-vergaderingen van een Britse overheidsinstantie.
"Er zijn veel cybersecuritybedrijven en ook een paar Microsoft-partnerbedrijven," zegt Sheward. Een paar weken geleden kreeg hij een uitnodiging voor de zomerbarbecue van een bedrijf in San Francisco, gericht aan "Beste verwijderde gebruiker".
Een van de meest frequente bronnen van e-mail is volgens Sheward (zonder de firma bij naam te noemen) een AI-bedrijf dat objectherkenningstechnologie gebruikt om werknemers op industriële locaties in het Midden-Oosten te detecteren die mogelijk geen veiligheidsprotocollen volgen. De onderzoeker heeft duizenden CCTV-stilbeelden van dit bedrijf ontvangen. In een Medium-bericht uit april schreef hij: "Ik ben een goede bewaker van de internetvuilnisbak—maar als ik een slechte had sidoen, is het niet moeilijk om te zien hoe deze informatie die vrijwillig in mijn gezicht wordt gegooid, misbruikt zou kunnen worden."
Preventie en risico's
Omdat zowel Solovewicz als Sheward de potentiële schaal van de verkeerd geplaatste e-mails inzagen—en beseften welke goudmijn deze data zou zijn voor hackers en afpersers—hebben zij onafhankelijk van elkaar meer dan 30 domeinen gekocht om te voorkomen dat kwaadaardige actoren dezelfde aanpak gebruiken.
Als onderdeel van zijn Defcon-presentatie legde Solovewicz uit dat hij een tool heeft gebouwd om te testen of andere mogelijke placeholder-domeinen zijn geconfigureerd om e-mail te ontvangen. "Ik heb 7.136 domeinen gescand, en 328 daarvan bleken catch-all inboxes te hebben geconfigureerd," zegt Solovewicz. "Ik weet niet zeker of ik kan zeggen hoe groot dit probleem is, maar mijn zorg is dat wat ik 'per ongeluk' vond toen ik mijn domein registreerde, slechts het topje van de ijsberg is."
Beide onderzoekers geven aan dat ze, waar mogelijk, bedrijven hebben op de hoogte gesteld waarvan de systemen verkeerd zijn geconfigureerd. De resultaten zijn wisselend; terwijl sommige organisaties de problemen stilletjes lijken te hebben opgelost, hebben velen anderen niet gereageerd. Door de enorme schaal van het probleem is het een uitdaging om elke betrokkene te informeren.
"Het is te veel," zegt Solovewicz, waarbij hij benadrukt dat mensen er niet vanuit moeten gaan dat een domein niet gemonitord wordt. "Ik ben op het punt gekomen waar het nu een fulltime baan zou zijn om al deze berichten af te handelen—dat is mede mijn motivatie om hierover te spreken; dit is mijn 'responsible disclosure'. Jullie moeten jullie systemen repareren en dit niet meer doen, en niet jullie klantgegevens, werknemersgegevens en eigen interne data lekken."
Gevoelige informatie belandt constant in 'no reply'-e-mails. Deze man ziet het allemaal
Cory Solovewicz ontvangt meer ongewenste e-mails dan u. Serieus—het is er veel meer. Sinds december 2024 heeft een van de domeinen waarop de beveiligingsonderzoeker e-mail ontvangt, 401.796 berichten geregistreerd. Volgens zijn berekeningen is dat gemiddeld 699,99 berichten per dag.
Deze vloed is niet de gebruikelijke stroom spam, nieuwsbrieven en ongewenste aanbiedingen die veel mensen in hun inbox vinden. In plaats daarvan sturen bedrijven en andere organisaties onbedoeld privégegevens van anderen en bedrijfsgeheimen naar Solovewicz. De afgelopen jaren heeft hij letselrapporten van een gemeentebestuur ontvangen, bevestigingen van pizza-bestellingen en e-mails voor het instellen van accounts van een schoolplatform. "Ik krijg serviceorders voor mensen die reparaties nodig hebben. Ik krijg veel inloggegevens van testplatforms," zegt Solovewicz, beveiligingsonderzoeker en consultant.
Een onbedoelde honeypot
Solovewicz ontvangt deze lawine aan berichten omdat hij de eigenaar is van de domeinen noreply.us en noreply.net, die hij respectievelijk in 2020 en 2024 heeft aangeschaft. Oorspronkelijk was het plan om het noreply.us-domein te gebruiken als een catch-all e-mailadres—dat alle mail ontvangt die naar elk willekeurig @-adres op dat domein wordt gestuurd—om berichten te filteren en zijn privacy te verbeteren. De onderzoeker merkte echter al snel op dat andere systemen mail stuurden naar @noreply.us-adressen. "Ik heb per ongeluk een honeypot gecreëerd," vertelt Solovewicz aan WIRED. "Ik had geen idee dat het dit zou worden."
Bedrijven kunnen e-mails sturen naar [bedrijfsnaam]@noreply.net of soortgelijke variaties in de veronderstelling dat deze nergens heen gaan of op geen enkele manier gemonitord kunnen worden. In bredere zin is het ook mogelijk dat ze een individueel e-mailadres van een persoon omzetten naar een van deze placeholder-domeinen als iemand het bedrijf verlaat of zijn account verwijdert.
Wat begon als een persoonlijk e-mailproject, is uitgegroeid tot een grootschalige inspanning om bedrijven en andere groepen te waarschuwen dat hun interne systemen verkeerd zijn geconfigureerd en dat ze per ongeluk gevoelige informatie delen. Solovewicz, die zijn werk gisteren presenteerde op de Defcon-beveiligingsconferentie, zegt dat hij uiteindelijk opgelucht is dat hij de domeinen in handen heeft gekregen in plaats van criminele hackers of natiestaten die de data kwaadaardig zouden kunnen gebruiken.
"Ik realiseerde me niet dat dit zo'n groot probleem zou worden," zegt Solovewicz, die de getroffen entiteiten niet publiekelijk noemt. De onderzoeker heeft de betrokken bedrijven gewaarschuwd voor hun problemen en hen aangemoedigd de fouten en misconfiguraties te herstellen. "Ik wil gewoon dat bedrijven en organisaties het juiste doen, hun systemen auditen en hun zaken op orde brengen."
De schaal van het probleem
Solovewicz geeft aan dat het noreply.net-domein het grootste is dat hij bezit; dit heeft in de anderhalf jaar dat hij het bezit 400.000 berichten ontvangen, waarvan er 28.365 bijlagen bevatten. Het noreply.us-domein heeft sinds aankoop in 2020 in totaal 37.255 berichten ontvangen over een periode van 2.345 dagen. In de maand voorafgaand aan zijn presentatie op de conferentie hebben beide domeinen samen meer dan 11.000 berichten ontvangen. In totaal zijn er e-mails verzonden vanaf meer dan 14.000 'afzenderadressen', afkomstig van 6.200 rootdomeinen. De onderzoeker benadrukt dat de berichten geautomatiseerd door bedrijfssystemen worden verzonden en niet door mensen zijn geschreven.
Hoewel het probleem niet nieuw is—bijna 20 jaar geleden schreef onafhankelijk beveiligingsjournalist Brian Krebs, destijds werkzaam bij de Washington Post, over hoe bedrijven miljoenen berichten stuurden naar @donotreply.com-e-mails—is het inherent vermijdbaar. Bedrijven zouden bijvoorbeeld interne domeinen kunnen gebruiken of het .invalid-domein, waarvan gegarandeerd is dat het niet bestaat.
Andere voorbeelden van datalekken
Solovewicz is niet de enige in dit vrijwillige streven om gegevens van bedrijven—vaak grote organisaties—te beschermen. Begin dit jaar besteedde Mike Sheward, hoofd beveiliging bij het EV-laadbedrijf Xeal, ongeveer 15 dollar aan de aankoop van het domein deleteduser.com. "Binnen het eerste uur waren er drie verschillende organisaties die dingen hadden gemaild naar @deleteduser.com," vertelt Sheward aan WIRED. Hij merkt op dat bedrijven e-mailadressen simpelweg lijken te wijzigen in plaats van accounts volledig uit hun systemen te verwijderen.
Net als Solovewicz heeft Sheward duizenden onbedoelde e-mails ontvangen van ten minste 100 verschillende organisaties via meerdere domeinen die hij nu bezit. Hij ontving onder andere:
- E-mails met details over Viagra-bestellingen;
- Berichten waarin hem wordt gevraagd om vakanties of verlof van werknemers goed te keuren;
- Hotelboekingen inclusief volledige namen;
- Uitnodigingen voor Zoom-vergaderingen van een Britse overheidsinstantie.
"Er zijn veel cybersecuritybedrijven en ook een paar Microsoft-partnerbedrijven," zegt Sheward. Een paar weken geleden kreeg hij een uitnodiging voor de zomerbarbecue van een bedrijf in San Francisco, gericht aan "Beste verwijderde gebruiker".
Een van de meest frequente bronnen van e-mail is volgens Sheward (zonder de firma bij naam te noemen) een AI-bedrijf dat objectherkenningstechnologie gebruikt om werknemers op industriële locaties in het Midden-Oosten te detecteren die mogelijk geen veiligheidsprotocollen volgen. De onderzoeker heeft duizenden CCTV-stilbeelden van dit bedrijf ontvangen. In een Medium-bericht uit april schreef hij: "Ik ben een goede bewaker van de internetvuilnisbak—maar als ik een slechte had sidoen, is het niet moeilijk om te zien hoe deze informatie die vrijwillig in mijn gezicht wordt gegooid, misbruikt zou kunnen worden."
Preventie en risico's
Omdat zowel Solovewicz als Sheward de potentiële schaal van de verkeerd geplaatste e-mails inzagen—en beseften welke goudmijn deze data zou zijn voor hackers en afpersers—hebben zij onafhankelijk van elkaar meer dan 30 domeinen gekocht om te voorkomen dat kwaadaardige actoren dezelfde aanpak gebruiken.
Als onderdeel van zijn Defcon-presentatie legde Solovewicz uit dat hij een tool heeft gebouwd om te testen of andere mogelijke placeholder-domeinen zijn geconfigureerd om e-mail te ontvangen. "Ik heb 7.136 domeinen gescand, en 328 daarvan bleken catch-all inboxes te hebben geconfigureerd," zegt Solovewicz. "Ik weet niet zeker of ik kan zeggen hoe groot dit probleem is, maar mijn zorg is dat wat ik 'per ongeluk' vond toen ik mijn domein registreerde, slechts het topje van de ijsberg is."
Beide onderzoekers geven aan dat ze, waar mogelijk, bedrijven hebben op de hoogte gesteld waarvan de systemen verkeerd zijn geconfigureerd. De resultaten zijn wisselend; terwijl sommige organisaties de problemen stilletjes lijken te hebben opgelost, hebben velen anderen niet gereageerd. Door de enorme schaal van het probleem is het een uitdaging om elke betrokkene te informeren.
"Het is te veel," zegt Solovewicz, waarbij hij benadrukt dat mensen er niet vanuit moeten gaan dat een domein niet gemonitord wordt. "Ik ben op het punt gekomen waar het nu een fulltime baan zou zijn om al deze berichten af te handelen—dat is mede mijn motivatie om hierover te spreken; dit is mijn 'responsible disclosure'. Jullie moeten jullie systemen repareren en dit niet meer doen, en niet jullie klantgegevens, werknemersgegevens en eigen interne data lekken."
Groetjes,