「誰も見ていない」はずのアドレスに、企業の秘密が流れ込んでいた#
セキュリティ研究者のCory Solovewiczがnoreply.netというドメインを購入したところ、企業や組織が誤って送り続けている機密情報や個人情報が大量に届くという事態が発生した。彼はDEFCONセキュリティカンファレンスでこの問題を公表し、企業側にシステムの見直しを呼びかけている。
何が起きているのか？#
Solovewiczはnoreply.usを2020年に、noreply.netを2024年に購入した。当初は自身のプライバシー強化を目的としたメールフィルタリング用として取得したが、すぐに異変に気づいた。企業や組織のシステムが、これらのドメイン宛てに自動メールを大量送信していたのだ。
届いたメールの規模#
noreply.net: 所有してから約1年半で401,796通のメールを受信。1日平均約700通に相当する。このうち28,365通には添付ファイルが含まれていた。noreply.us: 2020年の購入以来、37,255通を受信。- 送信元: 延べ14,000以上の「Fromアドレス」から、6,200以上のルートドメインが送信元として確認されている。
- これらのメールは人間が書いたものではなく、すべて企業システムによって自動送信されたものだという。
届いた情報の内容#
受信したメールには、市区町村の傷害報告書、ピザの注文確認メール、学校プラットフォームのアカウント設定メール、修理サービスの受付記録、テスト環境のログイン情報など、多岐にわたる機密・個人情報が含まれていた。
なぜこうした誤送信が起きるのか？#
企業が[社名]@noreply.netのようなアドレスに送信してしまう背景として、ソース記事では以下の可能性が挙げられている。
- 「どこにも届かない」という誤解: 企業がこのようなプレースホルダー的なドメインは実在しない、または監視されていないと思い込んでいる。
- アカウント削除後の置き換え処理: ユーザーが退職・アカウント削除した際に、メールアドレスを完全に削除するのではなく、
noreply系のアドレスに置き換えてしまうシステム設計上の問題。
この問題自体は新しいものではなく、ソース記事によれば約20年前にも同様の問題が指摘されていたという。代替手段として、内部ドメインや、存在が保証されていない.invalidドメインの利用が挙げられている。
同様の活動をする研究者も登場#
Solovewiczと独立して同様の活動を行っているのが、EVチャージング企業XealのセキュリティトップであるMike Shewardだ。彼は約15ドルでdeleteduser.comを購入したところ、購入後1時間以内に3つの異なる組織からメールが届いた。
Shewardが受信した情報には、バイアグラ注文の詳細、有給休暇の承認依頼、フルネーム入りのホテル予約確認、英国政府機関からのZoomミーティング招待などが含まれていたという。また、中東の産業現場で安全規定を守っていない作業員をAI画像認識で検知するある企業から、数千枚のCCTVの静止画像が届いたとShewardは述べている。
両研究者は、悪意ある第三者にこの手法が悪用されるリスクを認識し、独立して活動しながらも合計30以上のドメインを購入して防衛線を張っている。
スキャンで見えた「氷山の一角」#
SolovewiczはDEFCONの発表の中で、他にも同様の問題を抱えるドメインを探すプローブ（調査ツール）を構築したことを明かした。7,136ドメインをスキャンした結果、328ドメインでキャッチオール受信設定が確認されたという。彼は「私が偶然発見したことは氷山の一角に過ぎないかもしれない」と懸念を示している。
両研究者は影響を受けた企業への通知を試みているが、対応はまちまちだ。静かに問題を修正した組織がある一方、多くは返答すらしていない。問題の規模が大きすぎて、すべての企業に個別通知することは現実的ではないとSolovewiczは述べている。
まとめ#
noreply系のドメインは「返信不要」を意味する慣習的な用語として広く使われてきたが、それが「監視されていない」「存在しない」ことを保証するものではない。今回の事例は、企業のシステム設計における根本的な思い込みが、顧客・従業員データの大規模な意図せぬ流出を引き起こしうることを示している。
筆者の見解: これは特定の企業の問題ではなく、業界全体の設計慣習に起因する構造的なリスクだ。自社システムでnoreply系外部ドメインへのメール送信が行われていないか、今すぐ確認する価値があると感じる。
出典: A researcher bought noreply.net. Companies started sending him secrets.
