Introdução
Uma descoberta acidental revelou uma falha de segurança alarmante que afeta milhares de empresas ao redor do mundo. Pesquisadores de segurança que adquiriram domínios genéricos como noreply.net e noreply.us estão recebendo centenas de milhares de emails contendo informações sensíveis de funcionários, clientes e operações internas de organizações que acreditam estar enviando mensagens para endereços inexistentes. O caso expõe uma vulnerabilidade crítica em processos de automação corporativa que pode ter sérias implicações para a proteção de dados e compliance.
A descoberta acidental que virou pesadelo de segurança
Cory Solovewicz, pesquisador e consultor de segurança, comprou os domínios noreply.us em 2020 e noreply.net em 2024 com a intenção inicial de criar um sistema de email privado. O que ele não esperava era transformar-se involuntariamente no destinatário de uma avalanche de informações corporativas confidenciais. Desde dezembro de 2024, apenas um de seus domínios registrou mais de 400 mil mensagens – uma média impressionante de 700 emails por dia.
Entre os dados recebidos estão relatórios de acidentes de trabalho de órgãos governamentais, confirmações de pedidos com dados pessoais completos, credenciais de acesso a plataformas de teste e ordens de serviço com informações detalhadas de clientes. A situação é tão grave que Solovewicz afirma que lidar com todas as notificações necessárias se tornou praticamente um trabalho em tempo integral.
Como as empresas estão criando essa vulnerabilidade
O problema surge quando sistemas corporativos são configurados para enviar emails automáticos para endereços que as empresas assumem não existir ou não serem monitorados. Muitas organizações utilizam variações como empresa@noreply.net ou sistema@noreply.us acreditando que essas mensagens simplesmente desaparecerão no vazio digital. Outras vezes, quando um funcionário deixa a empresa ou uma conta é deletada, alguns sistemas simplesmente substituem o endereço original por um domínio genérico de ‘noreply’.
Mike Sheward, chefe de segurança da empresa de carregamento de veículos elétricos Xeal, teve experiência similar ao comprar o domínio deleteduser.com por apenas 15 dólares. Em menos de uma hora após a aquisição, três organizações diferentes já haviam enviado informações sensíveis para endereços nesse domínio. Sheward recebeu desde prescrições médicas de Viagra até convites para reuniões confidenciais de agências governamentais britânicas.
A escala alarmante do problema
Os números revelados pelos pesquisadores são impressionantes. O domínio noreply.net sozinho recebeu mais de 400 mil mensagens em apenas um ano e meio, com quase 30 mil delas contendo anexos. As mensagens vieram de mais de 14 mil endereços diferentes, representando 6.200 domínios corporativos únicos. Todos esses emails são gerados automaticamente por sistemas empresariais, não por pessoas.
Um dos casos mais preocupantes relatados por Sheward envolve uma empresa de inteligência artificial que utiliza reconhecimento de objetos para detectar violações de segurança em sites industriais no Oriente Médio. O pesquisador recebeu milhares de imagens de câmeras de segurança mostrando trabalhadores em situações potencialmente comprometedoras. Em mãos erradas, essas informações poderiam ser usadas para chantagem, espionagem industrial ou até mesmo ataques direcionados.
Por que isso é especialmente preocupante para empresas brasileiras
Para o mercado brasileiro, onde a Lei Geral de Proteção de Dados (LGPD) impõe multas de até 2% do faturamento por vazamentos de dados, essa vulnerabilidade representa um risco regulatório significativo. Muitas empresas nacionais utilizam sistemas de automação importados ou desenvolvidos internamente sem as devidas auditorias de segurança. A prática de enviar emails para domínios ‘noreply’ genéricos pode estar expondo inadvertidamente dados de milhões de brasileiros.
Além disso, setores altamente regulados como o financeiro, saúde e governo são particularmente vulneráveis. Um vazamento de dados médicos ou financeiros através desse tipo de falha poderia resultar não apenas em multas substanciais, mas também em perda irreparável de confiança do consumidor e possíveis ações judiciais coletivas.
Soluções técnicas disponíveis mas ignoradas
O mais frustrante dessa situação é que existem soluções técnicas simples e estabelecidas há décadas. Empresas podem utilizar domínios internos para comunicações automatizadas ou adotar o domínio .invalid, que é garantido pelo padrão RFC 6761 como inexistente e impossível de ser registrado. Essas práticas são amplamente conhecidas na comunidade de segurança, mas claramente não estão sendo implementadas em escala.
Os pesquisadores, trabalhando de forma independente, já adquiriram mais de 30 domínios similares na tentativa de evitar que atores maliciosos explorem essa vulnerabilidade. Solovewicz desenvolveu até mesmo uma ferramenta de varredura que identificou 328 domínios com configurações de catch-all (que recebem todos os emails) entre 7.136 testados, sugerindo que o problema pode ser ainda maior do que o documentado.
O desafio da divulgação responsável
Tanto Solovewicz quanto Sheward têm tentado notificar as empresas afetadas sobre as configurações incorretas, mas os resultados têm sido mistos. Enquanto algumas organizações corrigiram silenciosamente os problemas, muitas outras simplesmente não responderam aos alertas. A escala massiva do problema torna impossível para pesquisadores individuais notificarem adequadamente todas as organizações afetadas.
A apresentação de Solovewicz na conferência Defcon representa, em suas próprias palavras, uma forma de ‘divulgação responsável em massa’. Ao tornar o problema público, ele espera pressionar as empresas a auditarem seus sistemas e corrigirem essas falhas antes que criminosos cibernéticos descubram e explorem a vulnerabilidade.
Implicações para o futuro da segurança corporativa
Este incidente revela uma lacuna preocupante entre as práticas de segurança recomendadas e a realidade operacional das empresas. Em uma era onde a automação e a inteligência artificial estão se tornando onipresentes nos processos corporativos, falhas básicas de configuração como essa podem ter consequências catastróficas.
Para profissionais de TI e segurança, isso serve como um lembrete crucial de que mesmo as configurações mais básicas precisam ser auditadas regularmente. A suposição de que um domínio não está sendo monitorado é perigosa e pode levar a vazamentos de dados significativos. Empresas precisam implementar processos de revisão que incluam não apenas sistemas críticos, mas também comunicações automatizadas aparentemente inofensivas.
Conclusão
A descoberta de que milhares de empresas estão inadvertidamente vazando dados sensíveis através de emails mal configurados é um alerta urgente para o setor corporativo global. Em um momento onde a proteção de dados é não apenas uma questão de compliance, mas de sobrevivência empresarial, falhas tão básicas são inaceitáveis. As organizações precisam urgentemente auditar seus sistemas de email automatizado, implementar as soluções técnicas disponíveis e treinar suas equipes para evitar essas configurações perigosas. Como demonstrado pelos pesquisadores, a linha entre um erro de configuração aparentemente inofensivo e um vazamento de dados catastrófico é mais tênue do que muitos imaginam.
Fonte original: Este artigo foi adaptado e traduzido a partir da matéria “Sensitive Info Goes Into ‘No Reply’ Emails Constantly. This Guy Sees It All” publicada em Wired, disponível em https://www.wired.com/story/sensitive-info-goes-into-no-reply-emails-constantly-this-guy-sees-it-all/.
