Mientras los equipos de seguridad levantan cortafuegos, 400.000 correos se filtran directamente por direcciones "noreply"

Direcciones como noreply se han vuelto una parte habitual de los mensajes automáticos, pero un error inocente en la configuración las convierte en un canal de fuga de datos. Los expertos en seguridad Kori Solovevich y Mike Shevard compraron varios dominios baratos que las empresas usan como direcciones supuestamente «hacia ninguna parte» y comenzaron a recibir documentos ajenos, contraseñas, pedidos y otra información confidencial.

Solovevich es propietario de los dominios noreply.us y noreply.net. El primero lo compró en 2020 para su propio correo, y pronto notó que a direcciones aleatorias dentro del dominio llegaban mensajes automáticos de organizaciones externas. En 2024 el especialista adquirió noreply.net, tras lo cual el flujo de correos aumentó hasta cientos de mensajes diarios.

Desde diciembre de 2024 en noreply.net llegaron más de 401.000 mensajes —un promedio de alrededor de 700 por día—. Entre ellos hubo 28.365 mensajes con adjuntos. Un mes antes de la intervención de Solovevich en la conferencia Defcon, ambos dominios recibieron en conjunto más de 11.000 mensajes. Los remitentes eran más de 14.000 direcciones vinculadas a unos 6.200 dominios principales.

El contenido resultó mucho más serio que el spam habitual. Solovevich recibía informes de servicios municipales sobre lesiones, confirmaciones de pedidos de comida, correos sobre creación de cuentas en plataformas escolares, solicitudes de reparación y credenciales para acceder a sistemas de prueba. La mayoría de los mensajes los enviaban sistemas corporativos de forma automática sin intervención de empleados.

Las fugas ocurren por la forma en que las organizaciones gestionan direcciones no utilizadas o eliminadas. Algunos sistemas sustituyen el correo de un empleado que se ha ido o de un usuario eliminado por algo como user@noreply.net o company@noreply.net, suponiendo que esa dirección no la controla nadie. En la práctica, el dominio puede pertenecer a cualquier persona y recibir todo el correo entrante.

Un problema similar lo detectó el responsable de seguridad de la empresa Xeal, Mike Shevard. A principios de 2026 compró por unos 15 dólares el dominio deleteduser.com, y ya en la primera hora llegaron correos de tres organizaciones distintas. Más tarde, el número de fuentes aumentó al menos hasta cien empresas.

Shevard recibió información sobre pedidos de medicamentos, solicitudes de aprobación de vacaciones de empleados, reservas de hotel con los nombres completos de los huéspedes, invitaciones a videoconferencias de un organismo gubernamental británico y otros mensajes internos. Una empresa que utiliza inteligencia artificial para supervisar el cumplimiento de la seguridad en instalaciones industriales del Medio Oriente le envió miles de fotogramas de cámaras de vigilancia.

Solovevich y Shevard, de forma independiente, ya compraron más de 30 dominios de este tipo para que no caigan en manos de atacantes. Solovevich también comprobó 7.136 dominios potenciales de marcador y encontró que 328 de ellos tenían buzones que aceptan mensajes dirigidos a cualquier dirección dentro del dominio. En su opinión, los casos detectados podrían ser solo una pequeña parte del problema real.

El error en sí se conoce desde hace tiempo. Hace unos 20 años, el periodista Brian Krebs escribió sobre empresas que enviaban millones de mensajes automáticos a direcciones del dominio donotreply.com. Se puede evitar este tipo de fugas sin medidas de protección complejas: las organizaciones pueden usar dominios internos propios o la zona .invalid, que por norma está reservada para direcciones que deliberadamente no existen.

Ambos especialistas intentan advertir a las empresas sobre configuraciones erróneas, pero la respuesta varía mucho. Algunas organizaciones corrigen el problema, otras no responden en absoluto. El flujo ya es tan grande que contactar manualmente a cada remitente es prácticamente imposible. Solovevich llega a una conclusión sencilla: una dirección que parece un marcador técnico no debe considerarse de nadie. Detrás de un dominio puede haber un propietario real que reciba datos de clientes, empleados y documentos internos de la empresa.