Gli indirizzi email che terminano con “noreply” sono spesso considerati come destinazioni inesistenti, un vero e proprio cestino digitale. Tuttavia, questo non è il caso per Cory Solovewicz, ricercatore specializzato in sicurezza informatica, che riceve quotidianamente una media di 700 email a causa dell’acquisto del dominio noreply.us nel 2020 e, successivamente, di noreply.net nel 2024.

Da quel momento, la sua casella di posta si è trasformata in un archivio involontario di comunicazioni aziendali, dati personali e documenti che non avrebbero dovuto essergli inviati. Non si tratta di spam tradizionale, ma di messaggi provenienti da aziende, enti pubblici, piattaforme online di ogni genere, tutti accomunati dalla convinzione erronea di indirizzare i messaggi a un destinatario inesistente.

Solo il dominio noreply.net, a partire da dicembre 2024, ha raccolto ben 401.796 email. Sommando anche le email ricevute tramite noreply.us, si arriva a un totale di quasi 438 mila messaggi provenienti da oltre 14 mila indirizzi diversi, collegati a più di 6.200 domini distinti.

Perché una configurazione catch-all intercetta tutto

Il meccanismo tecnico alla base di questo fenomeno è relativamente semplice. Solovewicz ha impostato i suoi domini in modalità “catch-all”, un sistema che intercetta qualsiasi messaggio destinato a un indirizzo che termini con @noreply.us o @noreply.net, indipendentemente da ciò che precede la chiocciola. La vera responsabilità, tuttavia, risiede nei sistemi delle aziende che inviano posta elettronica a domini di cui non sono proprietarie, presumendone l’inesistenza.

Le cause più comuni di questo errore includono l’invio automatico di notifiche a indirizzi come [email protected] da parte di software gestionali, oppure la mancata rimozione o anonimizzazione dei contatti quando un utente cancella il proprio profilo o un dipendente lascia l’azienda. In questi casi, il campo email viene semplicemente lasciato attivo ma reindirizzato a un dominio inesistente, come noreply.net.

Un esempio emblematico è rappresentato dalla trasformazione di un indirizzo email da [email protected] a [email protected]: il campo rimane compilato e i sistemi continuano a inviare notifiche all’indirizzo errato.

Un problema noto da quasi vent’anni

Questo fenomeno non è certo nuovo. Già nel 2008, Brian Krebs, allora giornalista del Washington Post, raccontò il caso di Chet Faliszek, proprietario dal 2000 del dominio donotreply.com, che riceveva milioni di messaggi simili, inclusi dati finanziari e informazioni su vulnerabilità informatiche.

Più recentemente, l’esperto di sicurezza informatica Mike Sheward ha speso circa 13 euro per registrare il dominio deleteduser.com. Nel giro di un’ora aveva già ricevuto email da tre diverse organizzazioni, che sono poi diventate migliaia provenienti da un centinaio di enti diversi, tra cui aziende del settore della sicurezza e alcuni partner di Microsoft. Un paio di settimane prima di rendere pubblica la sua scoperta, Sheward aveva persino ricevuto l’invito a un barbecue estivo da parte di un’azienda di San Francisco, indirizzato a “Gentile Utente Eliminato”.

Avvisi ai mittenti e possibili soluzioni

Ogni volta che Solovewicz riceve materiale sensibile, cerca attivamente di avvisare il mittente, spiegando l’errore di configurazione e i potenziali rischi per la sicurezza dei dati. In alcuni casi, le aziende hanno corretto i propri sistemi senza fornire alcuna risposta; in molti altri, invece, le segnalazioni sono state ignorate.

Solovewicz ha registrato una trentina di domini simili a noreply.net e noreply.us con l’obiettivo di prevenire utilizzi malevoli da parte di terzi che potrebbero sfruttare questi indirizzi per raccogliere informazioni riservate e utilizzarle per scopi illeciti. Ha inoltre sviluppato un sistema per stimare quanti domini abbiano una configurazione simile, capace di intercettare posta indesiderata.

Sul piano tecnico, la soluzione più efficace consiste nell’utilizzo di domini interni sotto il proprio controllo oppure del dominio riservato .invalid, nato appositamente per indicare indirizzi che non devono esistere. È fondamentale, in ogni caso, evitare di dare per scontato che un dominio non controllato sia privo di proprietario o che la posta inviata a quell’indirizzo non venga letta.

* Contenuto realizzato con l’ausilio di sistemi di intelligenza artificiale.