Existe un dominio llamado noreply.net, que literalmente se traduce como «no responder». Llevaba registrado mucho tiempo, prácticamente sin uso. En 2024, el investigador de seguridad estadounidense Cory Solovewicz lo compró y lo configuró para recibir todos los correos dirigidos a cualquier dirección de ese dominio. Durante el año y medio siguiente, empresas de todo el mundo comenzaron a enviar correos automáticos a su bandeja de entrada: informes de accidentes laborales de empleados municipales, correos de alta de cuentas escolares, confirmaciones de pedidos de pizza, órdenes de reparación, credenciales de plataformas de prueba y un enorme volumen de documentos internos, facturas, contratos y enlaces de restablecimiento de contraseña. Cuando presentó sus datos en la Defcon —la conferencia de hackers más famosa del mundo—, el dominio había recibido 401.796 correos electrónicos, una media de unos 700 al día, de los cuales 28.365 incluían archivos adjuntos.
Ni uno solo de estos correos había sido redactado por una persona; todos fueron generados automáticamente por los sistemas informáticos de las empresas. El propio Solovewicz explicó que al principio solo buscaba una dirección privada para bloquear spam y que «acabó creando un honeypot por accidente». En ciberseguridad, un honeypot (trampa de miel) es un señuelo diseñado para atraer a atacantes. Sin embargo, en esta ocasión, quienes cayeron en la trampa fueron los sistemas corporativos de los que se presuponía la mayor cautela del mundo.
Figura: A ojos de las empresas, este tipo de dominios son la papelera del mundo digital: un lugar donde «nadie mira» y se puede arrojar cualquier cosa. Fuente: Ars Technica (Foto: Richard Drury vía Getty)
¿Por qué un «dominio en desuso» recibe información confidencial?
Para comprender cómo ocurre esto, es necesario analizar dos factores clave.
En primer lugar, innumerables aplicaciones y sistemas usan por defecto direcciones de remitente del tipo [email protected], indicando que no se supervisan las respuestas. Muchas empresas, por comodidad en el despliegue, copian la configuración por defecto e incluso introducen el dominio noreply.net —un dominio real que no les pertenece— pensando que nadie responderá a esa dirección. Del mismo modo, cuando un empleado deja la empresa o se borra una cuenta, los sistemas suelen reescribir la dirección original a un marcador de posición como [email protected] en lugar de eliminar el registro de la base de datos.
En segundo lugar, el sistema de correo electrónico lleva más de 50 años funcionando, desde el primer mensaje enviado en 1971 y la estandarización del protocolo a principios de los años 80. Desde sus orígenes, el protocolo solo verifica un dato de forma estricta: la dirección del destinatario, ya que el servidor necesita saber a dónde entregar el mensaje. Respecto a quién es el remitente, el protocolo confía a ciegas en lo que se escriba en la cabecera. El correo electrónico es esencialmente una postal: la oficina de correos solo comprueba la dirección de destino para realizar la entrega, sin verificar jamás la identidad del remitente.
Al cruzarse estos dos factores, surge una vulnerabilidad estructural. Las empresas envían datos confidenciales a una dirección etiquetada como «no supervisada» pero que realmente tiene un receptor activo; el servidor de correo comprueba la dirección del destinatario, confirma que es válida y entrega el mensaje. En ningún punto del trayecto nadie verifica la identidad del remitente ni la propiedad del dominio. La premisa de confianza sobre la que ha girado el mundo empresarial durante 50 años se quiebra aquí.
Esta premisa funcionaba cuando la red estaba restringida a universidades e institutos de investigación militar que se conocían entre sí. Pero cuando el correo electrónico se abrió a todo el mundo, la falta de verificación del remitente dio paso a abusos masivos: ciberdelincuentes haciéndose pasar por «su banco» o «su jefe», origen fundamental de los ataques de phishing. Más tarde, la industria introdujo estándares como SPF, DKIM y DMARC para validar el dominio del remitente. Sin embargo, estos parches no pueden detener esta filtración: el dominio remitente de las empresas es completamente legítimo; lo que está mal configurado es la dirección del destinatario, que es precisamente lo único que los servidores de correo comprueban rigurosamente.
Figura: Ilustración de WIRED para el reportaje sobre la llegada constante de información confidencial a buzones ‘no-reply’. Fuente: WIRED (Ilustración: Jobanny Cabrera)
Qué significan 400.000 correos electrónicos
Según las estadísticas de Solovewicz, los mensajes procedían de más de 14.000 direcciones de correo pertenecientes a 6.200 dominios raíz. Esta cifra demuestra que el problema afecta a toda la industria a una escala asombrosa: un flujo continuo de filtración a un ritmo de 700 mensajes diarios.
Otro investigador, Mike Sheward, gastó unos 15 dólares en comprar deleteduser.com. En la primera hora, tres organizaciones diferentes comenzaron a enviar correos a dicho dominio. El contenido recibido era aún más alarmante: solicitudes de permisos de empleados, reservas de hotel con nombres completos, invitaciones a reuniones de Zoom de organismos gubernamentales del Reino Unido y hasta una invitación a la barbacoa de verano de una empresa de San Francisco dirigida a «Estimado usuario eliminado». El remitente más activo fue una empresa de inteligencia artificial que utilizaba reconocimiento de imágenes para supervisar el uso de cascos en obras de construcción en Oriente Medio, la cual le envió miles de capturas de pantalla de videovigilancia. Sheward se definió a sí mismo como «el guardián del contenedor de basura de Internet» —siendo el contenedor de basura el papel que las empresas asignan inadvertidamente a estos dominios. Los mensajes con adjuntos (28.365 en total) resultaban especialmente peligrosos: hojas de cálculo, escaneos e imágenes suelen contener información mucho más valiosa que el texto del cuerpo.
15 dólares, una hora, tres organizaciones. Probablemente el récord del coste más bajo para una filtración masiva de datos.
Ambos investigadores comprendieron que si estos dominios cayeran en manos de cibercriminales o extorsionadores, se convertirían en una mina de oro. Por ello, actuaron de forma preventiva y compraron más de 30 dominios comodín similares. Posteriormente, Solovewicz desarrolló un programa para escanear 7.136 dominios candidato y descubrió que 328 tenían activada la función de recepción masiva (catch-all). Como él mismo señaló, este hallazgo casual representa tan solo la punta del iceberg.
Una filtración sin atacantes
En todo este asunto no ha habido vulnerabilidades explotadas ni atacantes informáticos. Los verdaderos responsables son dos conceptos: «configuración por defecto» y «falta de verificación». Los sistemas automáticos envían sin filtro información confidencial a direcciones comodín; el protocolo de correo confía en cualquier identidad declarada; y el mundo empresarial, que depende del correo, casi nunca audita a dónde llegan los mensajes que sus propios sistemas emiten.
Este problema ya se hizo público hace dos décadas, cuando el periodista Brian Krebs informó sobre el masivo volumen de correo que las empresas enviaban a donotreply.com. Veinte años después, la situación sigue intacta. Solovewicz ha intentado notificar a las empresas afectadas, con resultados desiguales: algunas corrigen el fallo en silencio, pero la mayoría ni siquiera responde. Él mismo admite que gestionar las notificaciones se ha convertido en una tarea que requeriría una jornada laboral completa.
Las soluciones no son complejas: utilizar dominios internos propios, emplear el dominio reservado por estándar .invalid (garantizado que no existe) o auditar periódicamente los registros de salida de correo. El verdadero obstáculo es de perspectiva: lograr que las empresas admitan que cada mensaje enviado automáticamente por sus sistemas puede ser leído por cualquier desconocido.
El correo electrónico, una infraestructura con 50 años de historia, sigue en marcha, pero las premisas de confianza sobre las cuales se diseñó ya no corresponden a la realidad del mundo actual. Mientras se redactan estas líneas, es muy probable que hayan llegado varias decenas de nuevos «correos confidenciales» a ese mismo buzón.
Enlaces de referencia:
- Ars Technica: A researcher bought noreply.net. Companies started sending him secrets.
- WIRED: Sensitive Info Goes Into ‘No Reply’ Emails Constantly. This Guy Sees It All
- Debate en Lobsters (lobste.rs/s/exgfc0, 27 puntos)
