한 연구자가 noreply.net을 샀더니 기업 기밀이 쏟아짐

보안 연구자 Cory Solovewicz가 소유한 noreply.net과 noreply.us로 기업 시스템이 고객·직원 정보와 내부 기밀을 자동 전송했으며, noreply.net에는 2024년 12월 이후 401,796통이 도착함 기업들은 [회사명]@noreply.net 같은 주소가 존재하지 않거나 감시되지 않는다고 간주하고, 퇴사자·삭제 계정의 주소를 플레이스홀더 도메인으로 바꾸면서 정보 유출을 일으킴 noreply.net에서 받은 약 40만 통 중 첨부 파일이 있는 메일은 28,365통이었고, 두 도메인에는 최근 한 달간 11,000통 이상이 14,000여 개 발신 주소와 6,200여 개 루트 도메인에서 들어옴 Mike Sheward가 약 15달러에 산 deleteduser.com에도 한 시간 만에 3개 조직의 메일이 도착했으며, 휴가 승인 요청·호텔 예약·정부기관 Zoom 초대와 산업 현장의 CCTV 이미지 수천 장까지 유입됨 존재하지 않는 주소가 필요하다면 내부 도메인이나 .invalid 도메인을 사용해야 하며, 외부 도메인이 감시되지 않는다고 가정해서는 안 됨 우연히 만들어진 이메일 허니팟 Cory Solovewicz는 2020년 noreply.us, 2024년 noreply.net을 구매함 noreply.us를 모든 @ 주소의 메일을 받는 캐치올 이메일로 사용해 메시지를 필터링하고 개인정보 보호를 강화하려 했지만, 외부 시스템이 이 도메인으로 메일을 보내고 있음을 발견함 개인 이메일 프로젝트는 기업과 조직에 내부 시스템의 잘못된 설정과 민감정보 유출을 경고하는 대규모 작업으로 커짐 Solovewicz는 의도치 않게 허니팟(honeypot)을 만들었으며, 범죄 해커나 국가 행위자가 아닌 자신이 도메인을 소유하게 된 것을 다행으로 여김 유출 정보에는 지방정부의 부상 보고서, 피자 주문 확인, 학교 플랫폼 계정 설정 메일, 수리 서비스 주문, 테스트 플랫폼 자격증명이 포함됨 메일이 엉뚱한 도메인으로 향하는 과정 기업은 [회사명]@noreply.net 같은 주소가 어디에도 전달되지 않고 누구도 감시할 수 없다고 믿은 채 메일을 보낼 수 있음 직원이 퇴사하거나 계정이 삭제되면 기존 이메일 주소를 플레이스홀더 도메인 주소로 변경하는 방식도 유출을 일으킴 수신된 메시지는 사람이 직접 작성한 것이 아니라 기업 시스템이 자동 생성한 메일임 실제 외부 도메인 대신 내부 도메인이나 존재하지 않음이 보장된 .invalid...