Специалист по безопасности Кори Соловевич купил домены noreply.neti и noreply.us и настроил на них catch-alli — почтовый ящик, принимающий письма на любой адрес внутри домена. Оказалось, что тысячи компаний используют адреса вида company@noreply.net как «технические заглушки», уверенные, что их никто не читает — но письма туда реально доставляются, и теперь их читает владелец домена.

За полтора года на один только noreply.net пришло около 400 тысяч писем с рабочими логинами и паролями, заявками на ремонт, данными клиентов, медицинской информацией и внутренними документами компаний. Похожая история случилась и с доменом deleteduser.com, купленным другим исследователем — история показывает, что десятки и сотни таких «мёртвых» доменов до сих пор используются бизнесом вслепую.

• Письма на noreply.net шли более чем с 6 тысяч разных корпоративных доменов
• Из ~400 тысяч писем более 28 тысяч содержали вложения — рабочие документы, данные клиентов, медицинскую информацию
• Домен deleteduser.com начал получать чужие письма уже в первый час после покупки
• Среди находок на deleteduser.com: бронирования отелей, запросы на отпуск, заказы Viagra, приглашения на Zoom от британского госведомства и тысячи кадров с камер наблюдения одной AI-компании
• По данным Хабра, домен noreply.net оказался зарегистрирован на реального человека, а не оставался «висящим» без владельца