Des informations sensibles continuent d'être envoyées dans des e-mails « sans réponse », et un seul homme obtient tout. Quelques chercheurs en sécurité ont découvert que l'une des conventions les plus ennuyeuses d'Internet, la fausse adresse e-mail « sans réponse », peut accidentellement devenir…
Selon Wired, quelques chercheurs en sécurité ont découvert que l’une des conventions les plus ennuyeuses d’Internet, la fausse adresse e-mail « sans réponse », peut accidentellement devenir un énorme pipeline d’informations privées.
Wired écrit que le chercheur en sécurité Cory Solovewicz possède les domaines noreply.net et noreply.us. Au lieu d’être des impasses numériques, les domaines ont été inondés d’e-mails que les entreprises pensaient apparemment que personne ne recevrait jamais. Depuis fin 2024, noreply.net a collecté à lui seul environ 400 000 messages, dont plus de 28 000 avec pièces jointes.
Et ce n’est pas du spam ordinaire. Solovewicz a tout reçu, depuis les rapports gouvernementaux sur les blessures et les ordres de réparation jusqu’aux informations sur le compte de l’école et aux identifiants de connexion. Dans certains cas, les entreprises semblent envoyer des messages automatisés à des adresses telles que companyname@noreply.net en supposant que les messages disparaissent tout simplement.
« J’ai créé un pot de miel accidentel », a déclaré Solovewicz. Ce qui a commencé comme une expérience de courrier électronique personnel s’est finalement transformé en un effort visant à avertir les organisations que leurs propres systèmes divulguaient des informations. Il a évité d’identifier publiquement les entreprises concernées et les a contactées au sujet du problème.
Un autre chercheur, Mike Sheward, est tombé sur essentiellement le même problème après avoir dépensé environ 15 $ sur deleteuser.com. En une heure, des e-mails provenant de trois organisations différentes étaient déjà arrivés. Depuis lors, des messages provenant d’au moins 100 organisations ont atterri dans les domaines qu’il contrôle, notamment des réservations d’hôtel contenant les noms de clients, des demandes d’approbation de vacances, des invitations Zoom d’une agence gouvernementale britannique et même des informations sur les commandes de Viagra.
Un exemple particulièrement troublant concerne une entreprise d’IA qui surveille les travailleurs industriels au Moyen-Orient. Sheward affirme que ses systèmes lui ont envoyé par erreur des milliers d’images de vidéosurveillance. Le problème évident est que les chercheurs ne sont pas les seuls à pouvoir acheter ces domaines. Les criminels, les extorqueurs ou les services de renseignement étrangers pourraient faire exactement la même chose.
Les deux chercheurs ont désormais acheté plus de 30 domaines dans le but de les protéger des acteurs malveillants. Solovewicz a également testé plus de 7 000 domaines réservés potentiels et en a trouvé 328 configurés avec des boîtes de réception fourre-tout, ce qui suggère que le problème pourrait s’étendre bien au-delà de ce qu’ils ont déjà découvert.
[…] La suite de l’article est à lire sur ZeroHedge via le lien ci-dessous.
Traduit automatiquement de l’anglais. Le texte original fait foi.
Source : ZeroHedge — Lire l’article original
À propos de l'auteur
