noreply.net所有者が企業機密を大量受信
원제: Sensitive Info Goes Into ‘No Reply’ Emails Constantly. This Guy Sees It All
왜 중요한가
수만 개 기업의 시스템 설정 오류로 민감 정보가 무방비 노출되는 구조적 보안 취약점이 대규모로 확인되어, 이메일 발신 정책 점검의 필요성이 업계 전반에 제기되고 있다.
보안 연구자 Cory Solovewicz는 2020년부터 noreply.us, noreply.net 등의 도메인을 구입해 이메일 수신 서비스를 운영한 결과, 2024년 12월 이후 약 40만 건의 이메일을 수신했다고 2026년 8월 7일 Defcon 보안 컨퍼런스에서 발표했다. 발신지는 6,200개 이상의 루트 도메인에 달하며, 기업 내부 정보 및 개인 민감 정보가 포함된 이메일이 지속적으로 유입되고 있다.
보안 연구자 겸 컨설턴트인 Cory Solovewicz는 2020년 noreply.us 도메인을, 2024년에는 noreply.net 도메인을 구입했다. 원래 개인 프라이버시 강화를 위한 catch-all 이메일로 활용할 계획이었으나, 기업 시스템들이 이 도메인 주소로 자동 이메일을 발송하고 있다는 사실을 우연히 발견했다.
noreply.net 도메인은 구입 후 약 1년 반 동안 40만 건 이상의 이메일을 수신했으며, 그 중 첨부파일이 포함된 이메일은 28,365건에 달한다. noreply.us는 2020년 구입 이후 2,345일간 37,255건을 수신했다. 두 도메인을 합산하면 컨퍼런스 발표 전 한 달간 1만 1,000건 이상의 이메일이 수신됐으며, 발신 주소는 1만 4,000개 이상, 루트 도메인은 6,200개를 초과한다.
수신된 이메일에는 지방정부의 부상 보고서, 피자 주문 확인서, 학교 플랫폼 계정 설정 정보, 설비 수리 서비스 오더, 테스트 플랫폼 인증 정보 등 민감한 개인 및 기업 정보가 대거 포함돼 있었다. 이는 기업들이 noreply@ 형태의 주소로 이메일을 보내면 실제로 수신되지 않는다고 오해하거나, 퇴직·탈퇴한 사용자의 이메일 주소를 이러한 플레이스홀더 도메인으로 변환 처리하는 시스템 설정 오류에서 비롯된 것으로 분석된다.
Solovewicz는 피해 기업명을 공개하지 않고 개별적으로 시스템 오류와 잘못된 설정에 대해 경고 통보를 보내고 있다고 밝혔다. 그는 "범죄 해커나 국가 행위자가 이 도메인을 먼저 소유했다면 더 큰 피해가 발생했을 것"이라며, 기업들이 자체 시스템을 점검하고 수정할 것을 촉구했다.