Drošības pētnieks nejauši kļuvis par uzņēmumu noplūdušo datu 'medus podu'
Iegādājoties domēnus noreply.us un noreply.net, drošības pētnieks Korijs Solovevičs saņēmis simtiem tūkstošu uzņēmumu automātiski nosūtītu e-pastu ar sensitīvu informāciju. Viņš tagad brīdina uzņēmumus par to sistēmu nepareizu konfigurāciju.
Drošības pētnieks un konsultants Korijs Solovevičs kopš 2020. un 2024. gada ir īpašnieks domēniem noreply.us un noreply.net, kurus sākotnēji iegādājās personīgiem mērķiem. Tomēr izrādījās, ka daudzas organizācijas šos un līdzīgus domēnus izmanto kā it kā neuzraudzītas 'atbildes nesūtīt' adreses, faktiski sūtot uz tiem reālus e-pastus.
Kopš 2024. gada decembra viens no viņa domēniem saņēmis vairāk nekā 400 000 vēstuļu — vidēji apmēram 700 dienā. Otrs domēns kopš 2020. gada saņēmis vairāk nekā 37 000 vēstuļu. Kopumā ziņas nākušas no vairāk nekā 14 000 dažādām adresēm un 6200 domēniem, un tās ir automātiski ģenerētas uzņēmumu sistēmās, nevis rakstītas cilvēku.
Ko satur vēstules
Starp saņemtajiem materiāliem ir pilsētas pašvaldības traumu ziņojumi, picas pasūtījumu apstiprinājumi, skolas platformas konta izveides e-pasti, remonta pakalpojumu pieprasījumi un testa platformu piekļuves dati. Vairāk nekā 28 000 vēstuļu satur pielikumus.
Solovevičs par savu darbu stāstīja Defcon drošības konferencē, uzsverot, ka priecājas, ka domēni nonākuši viņa, nevis ļaunprātīgu hakeru vai valstu atbalstītu grupu rokās. Viņš aktīvi brīdina skartos uzņēmumus, taču atzīst, ka daudzi neatbild, un problēmas mēroga dēļ visus paziņot nav iespējams.
Nav vienīgais gadījums
Līdzīgu pieredzi guvis arī EV uzlādes uzņēmuma Xeal drošības vadītājs Maiks Ševards, kurš par nelielu summu iegādājies domēnu deleteduser.com un jau pirmajā stundā saņēmis vēstules no trim organizācijām. Viņš saņēmis arī medikamentu pasūtījumus, atvaļinājumu apstiprinājumus, viesnīcu rezervācijas un pat uzaicinājumus uz Zoom sanāksmēm no Lielbritānijas valdības aģentūras, kā arī tūkstošiem novērošanas kameru attēlu no mākslīgā intelekta uzņēmuma.
Abi pētnieki kopš tā laika iegādājušies vairāk nekā 30 līdzīgus domēnus, lai ierobežotu risku, ka tos varētu izmantot ļaunprātīgi. Solovevičs skenējis vairāk nekā 7000 iespējamo aizstājējdomēnu un konstatējis, ka 328 no tiem ir konfigurēti tā, lai saņemtu jebkuru e-pastu. Viņš aicina uzņēmumus izmantot iekšējos domēnus vai speciālo domēnu .invalid, lai izvairītos no datu noplūdes.
