Hassas Bilgiler Sürekli Olarak 'Cevap Yok' E-postalarına Giriyor. Bu Adam Hepsini Görüyor

Cory Solovewicz, sizden daha fazla istenmeyen e-posta alıyor. Cidden, çok daha fazla. Aralık 2024’ten bu yana, bu güvenlik araştırmacısının e-posta aldığı alan adlarından birine 401 bin 796 mesaj kaydedildi; onun hesaplamalarına göre bu, günde ortalama 699,99 mesaj anlamına geliyor.

Bu sel, pek çok kişinin gelen kutusunu dolduran sıradan spam, haber bültenleri ve istenmeyen tekliflerden ibaret değil. Bunun yerine, şirketler ve diğer kuruluşlar farkında olmadan Solovewicz’e başkalarının kişisel bilgilerini ve şirket sırlarını gönderiyor. Son birkaç yıl içinde, bir belediye yönetiminden yaralanma raporları, kişilerin pizza siparişlerinin onayları ve bir okul platformundan hesap açılış e-postaları aldı. “Onarım ihtiyacı olan kişiler için servis talepleri alıyorum. Test platformlarına ait çok sayıda erişim bilgisi de elime geçiyor,” diyor güvenlik araştırmacısı ve danışmanı Solovewicz.

Solovewicz, sırasıyla 2020 ve 2024 yıllarında satın aldığı noreply.us ve noreply.net alan adlarının sahibi olduğu için bu mesaj seliyle karşı karşıya kalıyor. Başlangıçta noreply.us alan adını, mesajları filtrelemek ve gizliliğini artırmak amacıyla o alan adındaki herhangi bir @ adresine gönderilen e-postaları toplayan bir 'catch-all' e-posta adresi olarak kullanmayı planlayan araştırmacı, kısa sürede diğer sistemlerin @noreply.us adreslerine e-posta gönderdiğini fark etti. “Kazara bir honeypot oluşturdum,” diyor Solovewicz, WIRED’a. “Bunun böyle bir şeye dönüşeceğini hiç tahmin etmemiştim.” 

Şirketler, bu e-postaların hiçbir yere ulaşmayacağını veya hiçbir şekilde izlenemeyeceğini düşünerek [şirketadı]@noreply.net adresine ya da buna benzer varyasyonlara e-posta gönderebilirler. Genel olarak, bir kişi şirketten ayrıldığında veya hesabını sildiğinde, şirketlerin bu kişinin kişisel e-posta adresini bu tür yer tutucu tarzı alan adlarından birine yönlendirmeleri de mümkündür.

Kişisel bir e-posta projesi olarak başlayan bu girişim, işletmeleri ve diğer grupları iç sistemlerini yanlış yapılandırdıkları ve yanlışlıkla hassas bilgileri paylaştıkları konusunda uyarmak amacıyla yürütülen geniş çaplı bir çalışmaya dönüştü. Dün Defcon güvenlik konferansında çalışmasını sunan Solovewicz, verileri kötü niyetle kullanabilecek suçlu hackerlar ya da devletler yerine bu alan adlarının eline geçmesinden dolayı nihayetinde rahatladığını belirtiyor.

“Bunun bu kadar büyük bir sorun olacağını fark etmemiştim,” diyor Solovewicz; ancak etkilenen kuruluşların isimlerini kamuoyuna açıklamıyor. Araştırmacı, etkilenen şirketleri sorunları konusunda uyarıyor ve hataları ile yanlış yapılandırmaları düzeltmeleri için teşvik ediyor. “Sadece şirketlerin ve kuruluşların doğru olanı yapmalarını, sistemlerini denetlemelerini ve sorunlarını gidermelerini istiyorum.”

Solovewicz, noreply.net alan adının sahip olduğu en büyük alan adı olduğunu ve bu alan adını satın aldığından bu yana geçen bir buçuk yıl içinde 400 bin mesaj aldığını, bunların 28 bin 365’inin ek içerdiğini belirtiyor. noreply.us alan adına ise 2020 yılında satın aldığından bu yana 2 bin 345 gün içinde 37 bin 255 mesaj gönderildi. Konferans konuşmasından önceki bir ay boyunca, bu alan adlarına toplamda 11 binden fazla mesaj geldi. Genel olarak, e-postalar 6 bin 200 kök etki alanından 14 binden fazla 'gönderen' adresinden gönderilmiştir. Araştırmacı, mesajların insanlar tarafından yazılmadığını, şirket sistemleri tarafından otomatik olarak oluşturulduğunu belirtiyor.

Bu sorun yeni bir konu olmasa da — yaklaşık 20 yıl önce, o dönemde Washington Post’ta çalışan bağımsız güvenlik gazetecisi Brian Krebs, şirketlerin @donotreply.com adreslerine milyonlarca mesaj gönderdiğini yazmıştı — bu durum doğası gereği önlenebilir. Örneğin, şirketler iç etki alanlarını veya var olmadığı garanti edilen .invalid etki alanını kullanabilirler.

Solovewicz, genellikle büyük şirketlerin verilerini korumaya yardımcı olan bu gönüllü çabada tek başına değil. Bu yılın başlarında, elektrikli araç şarj şirketi Xeal’in güvenlik sorumlusu Mike Sheward, deleteduser.com alan adını satın almak için yaklaşık 15 dolar harcadı. Sheward, WIRED’a verdiği demeçte, “İlk bir saat içinde, @deleteduser.com adresine e-posta gönderen üç farklı kuruluş oldu,” diyerek, şirketlerin hesapları sistemlerinden tamamen silmek yerine sadece e-posta adreslerini değiştirdiklerini belirtti.

Solovewicz gibi, Sheward da şu anda sahibi olduğu birçok alan adı üzerinden —en az 100 farklı kuruluştan— kendisine gelen binlerce istenmeyen e-postayla karşılaştı. İnsanların Viagra siparişlerini detaylandıran e-postalar, çalışanların iş tatillerini veya izinlerini onaylamasını isteyen mesajlar, kişilerin tam adlarını içeren otel rezervasyonları ve Birleşik Krallık’taki bir devlet kurumundan gelen Zoom toplantı davetiyeleri aldı. “Çok sayıda siber güvenlik şirketi ve birkaç Microsoft iş ortağı şirketi de var,” diyor Sheward. Birkaç hafta önce, 'Sayın Silinmiş Kullanıcı' adına düzenlenmiş, San Francisco’daki bir şirketin yaz barbekü partisine davet aldı.

Sheward, şirketin adını vermeden, e-postaların en sık gelen kaynaklarından birinin, Orta Doğu’daki endüstriyel tesislerde güvenlik protokollerine uymayan işçileri tespit etmek için nesne tanıma teknolojisi kullanan bir yapay zeka şirketi olduğunu söylüyor. Araştırmacı, bu şirketten binlerce CCTV görüntüsü aldığını belirtiyor. “İnternet çöp kutusunun iyi bir bekçisi olmaya çalışıyorum—ama kötü bir bekçi olsaydım, gözümün önüne isteyerek atılan bu bilgilerin nasıl kötüye kullanılabileceğini tahmin etmek zor değil,” diye yazdı Nisan ayında Medium’da yayınladığı bir yazıda.

Hem Solovewicz hem de Sheward, yanlış adrese gönderilen e-postaların potansiyel boyutunun ve bu verilerin bilgisayar korsanları ve şantajcılar için ne kadar değerli bir kaynak olacağının farkına vardıklarında, birbirlerinden bağımsız olarak 30’dan fazla alan adı satın alarak kötü niyetli kişilerin bu yöntemi taklit etme olasılığını sınırlamaya çalıştılar.

Solovewicz, Defcon’daki konuşmasının bir parçası olarak, diğer olası yer tutucu alan adlarının e-posta alacak şekilde yapılandırılıp yapılandırılmadığını test etmek için bir tarama aracı geliştirdiğini açıkladı. Solovewicz, “7 bin 136 alan adını taradım ve bunlardan 328’inde ‘catch-all’ gelen kutusu yapılandırılmış olarak tespit edildi” diyor. “Bunun ne kadar büyük bir sorun olduğunu tam olarak söyleyemem, ancak endişem, alan adımı kaydettirirken ‘tesadüfen’ keşfettiğim durumun buzdağının sadece görünen kısmı olması.”

Her iki araştırmacı da, mümkün olduğunda sistemlerinde yanlış yapılandırma bulunan şirketleri bilgilendirdiklerini ve onlara e-posta gönderdiklerini belirtiyor. Sonuçların karışık olduğunu söylüyorlar. Bazı kuruluşlar sorunları sessizce çözmüş gibi görünse de, pek çok kuruluş yanıt vermemiş ve sorunun muazzam boyutu, etkilenen herkesi bilgilendirmeyi zorlu bir görev haline getiriyor.

“Bu çok fazla,” diyor Solovewicz ve insanların bir alan adının izlenmediğini varsaymamaları gerektiğini vurguluyor. “Artık bunlardan her birini ele almak tam zamanlı bir iş haline geldi – bu konuyu gündeme getirmemin motivasyonlarından biri de bu; bu benim sorumlu bildirimimdir. Sizler sistemlerinizi düzeltmelisiniz; bunu yapmamalı, müşteri verilerinizi, çalışan verilerinizi ve kendi iç verilerinizi sızdırmamalısınız.”

Bu makale ilk olarak WIRED sitesinde yayınlanmış ve Samet Kelebek tarafından İngilizceden çevrilmiştir.