「noreply」ドメインに企業機密が大量流出
原題: Sensitive Info Goes Into ‘No Reply’ Emails Constantly. This Guy Sees It All
なぜ重要か
企業の自動メールシステムの設定ミスが大規模な情報漏洩リスクになることを示し、組織のメールインフラ管理の見直しを促す事例として業界に警鐘を鳴らす。
セキュリティ研究者のCory Solovewiczは、noreply.netとnoreply.usを購入してメール受信を監視した結果、2024年12月以降だけで約40万通を受信したことを明らかにした。送信元は6,200以上のルートドメインに及び、企業の内部情報や個人の機密データが大量に含まれていた。同氏は2026年8月にDefconで研究成果を発表した。
セキュリティ研究者のCory Solovewiczは、企業や組織が誤って機密情報を「noreply」系ドメインに送信し続けている実態を明らかにした。同氏は2020年にnoreply.us、2024年にnoreply.netを購入。当初は自身のプライバシー保護を目的にキャッチオールメールとして運用していたが、すぐに外部システムからの誤送信が殺到していることに気づいた。
彼が「偶発的なハニーポット」と呼ぶこの仕組みには、2024年12月以降で401,796通（1日平均約700通）のメールが届いた。noreply.netだけで約40万通を受信し、そのうち28,365通には添付ファイルが含まれていた。noreply.usは2020年の取得以来、2,345日間で37,255通を受信。発表前の1か月間だけで両ドメイン合計1万1,000通以上が届き、送信元は14,000以上の「From」アドレス、6,200以上のルートドメインに上る。
受信内容には、市政府からの負傷報告書、ピザの注文確認メール、学校プラットフォームのアカウント設定メール、修理サービスオーダー、テスト環境のログイン情報などが含まれていた。これらはすべて人間が手動で送ったのではなく、企業の自動化システムが誤って送信したものとされる。
企業がこのような誤送信を行う原因として、同氏は「[社名]@noreply.net」のような架空アドレスを送信先に設定しているケースや、退職・退会したユーザーのメールアドレスをnoreply系ドメインに変換するシステム設定の誤りを挙げている。
SolovewiczはDefconでの発表を通じて問題を公表し、影響を受けた企業への個別通知も実施している。被害企業名は公表していない。「犯罪者や国家レベルのハッカーではなく、自分がこのドメインを持っていて良かった」とコメントしており、企業に対してシステム監査と修正を促している。