Domain für 15 Dollar gekauft und Tausende Geschäftsgeheimnisse erhalten

Wenn ein Hacker an sensible Informationen eines Unternehmens gelangen möchte, braucht es manchmal keinen komplexen Angriff, nur den Kauf eines passenden Domainnamens. Die Sicherheitsexperten Cory Solovewicz und Mike Sheward entdeckten ein ungewöhnliches Phänomen, das dazu führt, dass Unternehmen versehentlich vertrauliche Nachrichten an Domains senden, die jeder kaufen und verwalten kann.

Das Problem entsteht bei einfachen Adressen wie noreply oder deleteduser. Firmen verwenden sie für nicht existierende Benutzerkonten, in der Annahme, dass an sie gesendete Nachrichten einfach verloren gehen. Wenn das Unternehmen jedoch die mit einer solchen Adresse verbundene Domain nicht mehr besitzt, kann eine andere Person sie kaufen und alle Nachrichten empfangen, die dort eintreffen.

Zufälliger Honeypot voller vertraulicher Informationen

Solovewicz entdeckte, dass Domains wie noreply.net und noreply.us riesige Mengen an Nachrichten empfingen. Laut einer Untersuchung von Wired trafen auf noreply.net seit Ende 2024 innerhalb von etwa anderthalb Jahren mehr als 400.000 E-Mails ein, darunter über 28.000 Anhänge. "Ich habe einen zufälligen Honeypot erschaffen", sagte Solovewicz zu Wired. Was als persönliches E-Mail-Experiment begann, entwickelte sich im Laufe der Zeit zu einer Anstrengung, Organisationen zu warnen, dass ihre eigenen Systeme Informationen durchsickern lassen.

Nicht alle Nachrichten waren sensibel, aber darunter befanden sich Mitarbeiterdaten, staatliche Unfallberichte, Reparaturaufträge, Daten zu Schulkonten und sogar Anmeldedaten. In einigen Fällen scheinen Unternehmen automatisierte Nachrichten an Adressen wie [email protected] zu senden, in der Annahme, dass die Nachrichten einfach verschwinden. Solovewicz vermied es, betroffene Unternehmen öffentlich zu identifizieren, und kontaktierte sie stattdessen, um sie auf das Problem aufmerksam zu machen.

Für 15 Dollar zu Tausenden von CCTV-Bildern

Der andere Forscher, Mike Sheward, stieß auf ein fast identisches Problem, nachdem er etwa 15 Dollar für die Domain deleteduser.com bezahlt hatte. Innerhalb von nur einer Stunde trafen Nachrichten von drei verschiedenen Organisationen ein. Seitdem sind Nachrichten von mindestens 100 Organisationen auf den von ihm kontrollierten Domains eingegangen. Darunter befanden sich Hotelreservierungen mit Gästename, Urlaubsanträge, Einladungen zu Zoom-Meetings einer britischen Regierungsbehörde und sogar Informationen über Medikamentenbestellungen.

Ein besonders besorgniserregendes Beispiel betrifft ein KI-Unternehmen, das Industriearbeiter im Nahen Osten überwacht. Sheward behauptet, dass seine Systeme ihm versehentlich Tausende von CCTV-Bildern geschickt haben. Die offensichtliche Sorge liegt darin, dass Forscher nicht die einzigen sind, die diese Domains kaufen können. Kriminelle, Erpresser oder ausländische Geheimdienste könnten genau dasselbe tun.

Das Problem ist viel größer als gedacht

Die beiden Forscher haben bisher mehr als 30 Domains gekauft, um sie aus den Händen böswilliger Akteure zu entfernen. Solowewicz hat außerdem mehr als 7.000 potenzielle Platzhalter-Domains getestet und 328 davon mit sogenannten Catch-all-Postfächern konfiguriert gefunden, was darauf hindeutet, dass das Problem weit größer sein könnte als bisher entdeckt. Insgesamt fanden sie 7.136 Domains, die für den Empfang von E-Mails eingerichtet waren. Das bedeutet nicht, dass alle 7.136 Domains tatsächlich vertrauliche Informationen durchlassen, aber es zeigt, wie vergessene oder schlecht gewartete E-Mail-Einstellungen eine Sicherheitsbedrohung darstellen können.

Der frustrierende Teil ist, dass das Problem weitgehend vermeidbar ist. Unternehmen können interne Adressen oder Domains verwenden, die so konzipiert sind, dass sie nicht aufgelöst werden, anstatt anzunehmen, dass eine zufällige "noreply"- oder "deleteduser"-Adresse nirgendwohin führt. Wie Solowewicz den Unternehmen mitteilte: "Sie müssen Ihre Systeme reparieren."