Teknoloji ve güvenlik alanında çalışmalar yürüten bir araştırmacı, tesadüfen sahip olduğu bir alan adı sayesinde şirketlerin gizli bilgilerinin ve hassas verilerinin kendisine aktığını keşfetti. Bu durum, birçok şirketin e-posta sistemlerindeki ciddi yapılandırma hatalarını ve güvenlik açıklarını gözler önüne serdi.
Aralık 2024'ten bu yana, araştırmacının sahip olduğu alan adlarından birine tam 401.796 e-posta ulaştı. Bu rakam, günde ortalama yaklaşık 700 e-posta anlamına geliyor. Ancak bu e-postalar, sıradan spam veya tanıtım mesajları değil; aksine, şirketlerin ve diğer kurumların yanlışlıkla gönderdiği kişisel bilgiler, iş sırları ve hassas veriler içeriyor. Araştırmacı, son birkaç yıl içinde bir belediyeden yaralanma raporları, kişilerin pizza siparişlerinin onayları ve bir eğitim platformundan hesap kurulumu e-postaları gibi pek çok farklı türde veri aldığını belirtiyor. Kendisi aynı zamanda bir güvenlik danışmanı olarak görev yapıyor ve bu tür e-postaların yanı sıra test platformları için kimlik bilgileri de aldığını ifade ediyor.
Bu ilginç durumun temelinde, araştırmacının 2020 ve 2024 yıllarında satın aldığı noreply.us ve noreply.net alan adları yatıyor. Başlangıçta, bu alan adlarını gizliliğini artırmak ve gelen e-postaları filtrelemek amacıyla bir tür 'yakalayıcı' (catch-all) adres olarak kullanmayı planladığını belirten araştırmacı, kısa süre sonra diğer sistemlerin bu adreslere e-posta gönderdiğini fark etti. Kendi ifadesiyle, “kazara bir bal küpü yarattım” ve bunun bu boyuta ulaşacağını hiç beklemediğini dile getiriyor.
Şirketlerin, [şirketadı]@noreply.net gibi adreslere e-posta gönderirken, bu mesajların hiçbir yere gitmeyeceğini veya izlenemeyeceğini düşünmeleri olası. Ayrıca, bir çalışan şirketten ayrıldığında veya hesabını sildiğinde, kişinin bireysel e-posta adresini bu tür yer tutucu (placeholder) alan adlarına dönüştürmeleri de söz konusu olabilir.
Kişisel bir e-posta projesi olarak başlayan bu durum, işletmeleri ve diğer grupları sistemlerini yanlış yapılandırdıkları ve hassas bilgileri kazara paylaştıkları konusunda uyarmayı amaçlayan büyük ölçekli bir çabaya dönüştü. Yakın zamanda bir güvenlik konferansında bu konudaki çalışmalarını sunan araştırmacı, bu verilerin kötü niyetli kişiler veya devletler tarafından kullanılmasındansa kendi eline geçmesine sevindiğini belirtiyor.
Araştırmacı, “Bu sorunun bu kadar büyük olacağını fark etmemiştim,” diyerek, etkilenen kuruluşların isimlerini kamuoyu ile paylaşmadığını vurguluyor. Kendisi, etkilenen şirketlere sorunları hakkında bilgi vererek hataları düzeltmeleri yönünde teşviklerde bulunuyor. “Tek istediğim, şirketlerin ve kuruluşların doğru olanı yapmaları, sistemlerini denetlemeleri ve sorunları gidermeleri,” diyor.
Araştırmacının sahip olduğu noreply.net alan adı, en çok e-posta alan adlarından biri olarak öne çıkıyor. Sahip olduğu bir buçuk yıl içinde yaklaşık 400.000 e-posta almış ve bunların 28.365'i ek içeriyordu. noreply.us alan adına ise 2020 yılında sahip olduğundan bu yana 37.255 e-posta ulaşmış. Konferans konuşmasından önceki ay içinde her iki alan adına toplamda 11.000'den fazla e-posta gönderilmiş. Araştırmacı, gönderilen e-postaların genellikle şirket sistemleri tarafından otomatik olarak oluşturulduğunu, insanlar tarafından yazılmadığını belirtiyor.
Bu sorunun yeni olmadığına dikkat çeken araştırmacı, yaklaşık 20 yıl önce de benzer bir durumun yaşandığını ve şirketlerin milyonlarca e-postayı izlenmeyen adreslere gönderdiğini hatırlatıyor. Ancak bu sorunun tamamen önlenebilir olduğunu, örneğin şirketlerin iç alan adlarını kullanabileceğini veya var olmayacağı garanti edilen .invalid gibi alan adlarını tercih edebileceğini ekliyor.
Araştırmacı gibi, veri güvenliğini sağlamak amacıyla bu tür bir gönüllü çaba yürüten başka isimler de var. Örneğin, bir elektrikli araç şarj şirketi olan Xeal'in güvenlik başkanı Mike Sheward, geçtiğimiz aylarda yaklaşık 15 dolara deleteduser.com alan adını satın aldı. Sheward, alan adını aldıktan sadece bir saat sonra üç farklı kuruluştan bu adrese e-posta geldiğini, şirketlerin e-posta adreslerini tamamen silmek yerine sadece değiştirdiklerini gözlemlediğini belirtiyor.
Sheward da araştırmacı gibi, sahip olduğu birden fazla alan adına binlerce istenmeyen e-posta aldığını ve bu e-postaların en az 100 farklı kuruluştan geldiğini ifade ediyor. Bu e-postalar arasında kişilerin cinsel sağlık ürünleri siparişlerine ilişkin bilgiler, izin taleplerinin onaylanması veya izinler, tam isimlerin yer aldığı otel rezervasyonları ve hatta bir Birleşik Krallık hükümet kurumu tarafından gönderilen Zoom toplantı davetleri bulunuyor. Sheward, gelen e-postalar arasında siber güvenlik şirketleri ve Microsoft iş ortaklarının da bulunduğunu belirtiyor. Hatta bir süre önce San Francisco merkezli bir şirketin “Silinmiş Kullanıcı” hitabıyla gönderdiği bir yaz partisi davetini aldığını söylüyor.
Sheward'a göre, e-postaların en sık gelen kaynaklarından biri, Orta Doğu'daki endüstriyel sahalarda güvenlik protokollerine uymayan işçileri tespit etmek için nesne tanıma teknolojisi kullanan bir yapay zeka şirketi. Araştırmacı, bu firmadan binlerce güvenlik kamerası görüntüsü aldığını ve “İnternet'in çöp tenekesinin iyi bir koruyucusu oluyorum ama kötü bir koruyucu olsaydım, yüzüme atılan bu bilginin nasıl kötüye kullanılabileceğini görmek zor değil,” diyerek durumun potansiyel riskini özetliyor.
Hem Solovewicz hem de Sheward, yanlış yerlere gönderilen e-postaların potansiyel ölçeğini ve bu verilerin bilgisayar korsanları ve fidye isteyenler için ne kadar değerli bir hazine olabileceğini fark ettikten sonra, bağımsız olarak 30'dan fazla alan adı satın aldılar. Bu hamleleriyle, kötü niyetli aktörlerin benzer yöntemleri kullanma potansiyelini sınırlamayı amaçlıyorlar.
Solovewicz, güvenlik konferansındaki sunumunda, diğer olası yer tutucu alan adlarının da e-posta alacak şekilde yapılandırılıp yapılandırılmadığını test etmek için bir tarayıcı geliştirdiğini açıkladı. “7.136 alan adını taradım ve bunların 328'inde 'catch-all' gelen kutularının yapılandırılmış olduğunu belirledim,” diyor. Araştırmacı, “Bunun ne kadar büyük bir sorun olduğunu söylemekten emin değilim, ancak endişem, alan adımı kaydettiğimde 'kazara' bulduğum şeyin buzdağının sadece görünen kısmı olması,” şeklinde konuşuyor.
Her iki araştırmacı da, mümkün olduğunca, sistemleri yanlış yapılandırılmış ve onlara e-posta gönderen şirketleri bildirdiklerini söylüyor. Bu bildirimlerin sonuçları karmaşık olmuş; bazı kuruluşlar sorunları sessizce düzeltmiş gibi görünürken, birçoğu yanıt vermemiş. Sorunun devasa boyutu, etkilenen her bir şirkete ulaşmayı zorlaştırıyor.
Solovewicz, “Bu çok fazla,” diyerek, kimsenin bir alan adının izlenmediğini varsaymaması gerektiğini vurguluyor. “Artık bu, her birini ele almak için tam zamanlı bir iş olurdu – bu, motivasyonumun bir parçası, bu benim sorumlu açıklamamdı. Sizler, sistemlerinizi düzeltmeli ve bunu yapmamalısınız, müşteri verilerinizi, çalışan verilerinizi ve kendi iç verilerinizi sızdırmamalısınız,” diyerek şirketlere çağrıda bulunuyor.
