Gli indirizzi email che terminano con “noreply” sono spesso considerati come destinazioni inesistenti, un vero e proprio cestino digitale. Tuttavia, questo non è sempre il caso. Cory Solovewicz, ricercatore specializzato in sicurezza informatica, riceve mediamente 700 email al giorno a causa dell’acquisto del dominio noreply.us nel 2020 e, successivamente, di noreply.net nel 2024.

Da quel momento, la sua casella di posta si è trasformata in un archivio involontario di comunicazioni aziendali, dati personali e documenti che non avrebbero dovuto essergli inviati. Non si tratta di spam tradizionale, ma di messaggi provenienti da aziende, enti pubblici, piattaforme di ogni genere e servizi online che presumono di indirizzare i messaggi a un destinatario inesistente.

Solo il dominio noreply.net, a partire da dicembre 2024, ha raccolto ben 401.796 email. Sommando anche quelle ricevute tramite noreply.us, si arriva a quasi 438 mila messaggi provenienti da oltre 14 mila indirizzi diversi, collegati a più di 6.200 domini unici.

Il meccanismo tecnico alla base di questo fenomeno è relativamente semplice. Solovewicz ha configurato i suoi domini in modalità “catch-all”, una funzionalità che intercetta qualsiasi messaggio destinato a un indirizzo che termini con @noreply.us o @noreply.net, indipendentemente da ciò che precede la chiocciola. Tuttavia, la responsabilità principale risiede nei sistemi delle aziende e degli enti che inviano posta elettronica a domini di cui non sono proprietari, presumendone l’inesistenza.

Le cause più comuni di questo comportamento includono l’invio automatico di notifiche a indirizzi come [email protected] da parte di sistemi gestionali, oppure la mancata rimozione o anonimizzazione dei contatti quando un utente cancella il proprio profilo o un dipendente lascia l’azienda. In questi casi, l’indirizzo email viene semplicemente modificato, lasciando il campo attivo ma reindirizzato a un dominio inesistente come noreply.net. Un esempio lampante è la trasformazione di [email protected] in [email protected]: i sistemi continuano a inviare notifiche all’indirizzo obsoleto, che finiscono direttamente nella casella di posta di Solovewicz.

Questo problema non è certo nuovo. Già nel 2008 Brian Krebs, allora giornalista del Washington Post, raccontò il caso di Chet Faliszek, proprietario dal 2000 del dominio donotreply.com: riceveva milioni di messaggi, comprese informazioni finanziarie sensibili e dati relativi a vulnerabilità informatiche aziendali. Più recentemente, l’esperto di sicurezza informatica Mike Sheward ha speso circa 13 euro per registrare il dominio deleteduser.com. Nel giro di un’ora aveva già ricevuto email da tre organizzazioni diverse, che poi sono diventate migliaia provenienti da un centinaio di enti, tra cui aziende del settore della sicurezza e alcuni partner di Microsoft.

Ogni volta che riceve materiale sensibile, Solovewicz cerca attivamente di avvisare il mittente, spiegando l’errore di configurazione e i potenziali rischi per la privacy derivanti da queste fughe di dati. In diversi casi, i sistemi sono stati corretti senza nemmeno ricevere una risposta; in molti altri, gli enti coinvolti hanno semplicemente ignorato le sue segnalazioni. “Non mi ero reso conto che questo problema si sarebbe rivelato così grave”, ha dichiarato durante il Def Con, evitando però di rivelare i nomi delle realtà coinvolte. “Voglio solo che aziende e organizzazioni facciano la cosa giusta: verifichino i propri sistemi e risolvano questi problemi.”.

Solovewicz e Sheward hanno entrambi registrato una trentina di domini simili, con l’obiettivo di togliere terreno a chi potrebbe sfruttarli per raccogliere informazioni riservate e utilizzarle per scopi illeciti o estorsivi. Il ricercatore ha anche sviluppato un sistema per stimare quanti domini abbiano configurazioni che permettono l’intercettazione di questo tipo di posta indesiderata. “Non so dire con precisione quanto sia diffuso il problema, ma temo che ciò che ho scoperto accidentalmente durante la registrazione del mio dominio sia solo la punta dell’iceberg”, ha concluso.

Sul piano tecnico, la soluzione è già disponibile: utilizzare domini interni sotto il proprio controllo oppure il dominio riservato .invalid, nato appositamente per indicare indirizzi che non devono esistere. E soprattutto, mai dare per scontato che un dominio non controllato sia inattivo o che nessuno legga la posta elettronica inviata a quell’indirizzo.

* Contenuto realizzato con l’ausilio di sistemi di intelligenza artificiale.