ИБ-исследователь Кори Соловевич купил домены noreply.us и noreply.net и за полтора года получил более 400 000 писем, адресованных чужим людям и компаниям. Проблема в том, что организации массово используют адреса вроде no-reply@noreply.net для автоматических уведомлений, не проверяя, кому реально принадлежит домен.

В результате на почту исследователя падают конфиденциальные данные: пароли, ссылки для сброса, квитанции, медицинские документы и даже материалы внутренней переписки. Соловевич подчёркивает, что большинство отправителей просто копируют шаблон с noreply, не задумываясь, что этот адрес может быть реальным и принадлежать другому человеку.

Особенно тревожно, что часть писем содержит чувствительные данные клиентов банков, страховых и государственных учреждений. Это ставит под вопрос базовые принципы цифровой гигиены: компании обязаны проверять домены перед массовой рассылкой, а не полагаться на то, что письмо «никто не прочитает».

Соловевич уже связался с несколькими организациями, но большинство просто игнорирует проблему или меняет адрес без публичных объяснений. Он планирует опубликовать отчёт с примерами утечек, чтобы привлечь внимание к этой дыре.

В итоге ситуация показывает, что даже безобидный с виду домен noreply может стать источником серьёзной утечки данных, если его владельцем окажется злоумышленник. Пока отрасль не начнёт проверять такие адреса, риски остаются.