O que acontece quando alguém decide registrar um dos endereços de e-mail que parecem mais inúteis da internet? Cory Solovewicz, um consultor de segurança e desenvolvedor, descobriu a resposta da forma mais inesperada: ele se tornou o destinatário de uma avalanche de segredos corporativos e dados privados.
Ao comprar os domínios noreply.us e, posteriormente, noreply.net, Solovewicz configurou um e-mail "catch-all" para capturar todas as mensagens enviadas a eles. O resultado foi um fluxo de mais de 400 mil e-mails que nunca deveriam ter chegado ali. O caso, detalhado na conferência de segurança DEF CON e repercutido pela imprensa internacional, é mais do que uma anedota curiosa: é um sintoma de uma falha de segurança sistêmica e amplamente ignorada.
O 'honeypot' que ninguém planejou
No jargão da cibersegurança, um "honeypot" é uma armadilha, um sistema isca projetado para atrair e analisar ataques. O projeto de Solovewicz se tornou um honeypot acidental, revelando não a ação de hackers, mas a negligência de usuários e sistemas corporativos. Em sua caixa de entrada, surgiram desde pedidos de pizza e candidaturas de emprego a informações muito mais sensíveis: e-mails do governo de uma cidade, configurações de servidores de instituições de ensino e dados privados de clientes.
A raiz do problema está em uma suposição perigosa: a de que um endereço como noreply@empresa.com é um buraco negro, um vácuo para onde a informação vai e desaparece. O que Solovewicz demonstrou é que, se o domínio base (neste caso, noreply.net) for registrado por alguém, não há vácuo algum. Há um destinatário.
A falha é humana, não técnica
Solovewicz especula que os motivos para o vazamento são fundamentalmente comportamentais. Desenvolvedores usam domínios fictícios em ambientes de teste que, por descuido, acabam migrando para produção. Usuários comuns, ao ver "noreply", assumem que o endereço é seguro ou inativo. Em ambos os casos, o erro não é um bug complexo, mas uma simples falta de diligência, repetida em escala industrial.
Diante da montanha de dados sensíveis, o consultor assumiu uma nova missão: alertar os remetentes sobre suas próprias falhas. "Vocês precisam consertar seus sistemas, parar de fazer isso e parar de vazar os dados de seus clientes, de seus funcionários e seus próprios dados internos", afirmou ele na apresentação.
A história serve como um poderoso lembrete de que, na infraestrutura digital, não existem espaços verdadeiramente vazios. Cada endereço pode ter um dono e cada pacote de dados enviado sem o devido cuidado pode encontrar um leitor inesperado. A questão que fica é quantas outras portas, aparentemente fechadas, estão na verdade apenas esperando alguém girar a maçaneta.
Com reportagem de Brazil Valley
Source · Xataka
