El consultor de seguridad y desarrollador Cory Solovewicz adquirió hace años el dominio noreply.net con la intención de usarlo como una dirección de correo personal, pero lo que encontró al abrir la bandeja de entrada superó cualquier expectativa. En los últimos meses, su servidor ha recibido más de 400.000 mensajes; no se trataba de spam inocuo, sino de correos repletos de información confidencial que empresas, gobiernos y particulares enviaron por error al dominio equivocado. La historia, presentada en la conferencia DEF CON 34, destapa un fallo de seguridad tan masivo como silencioso que afecta a organizaciones de todo tipo.
El origen del problema: dos dominios comprados por curiosidad
Cory Solovewicz, un desarrollador y consultor de seguridad, comenzó este proyecto casi por casualidad. Primero registró noreply.us, un dominio que pensó que podría servirle para gestionar su propio correo. Cuatro años más tarde, decidió también comprar noreply.net. La idea inicial era montar un buzón personal para sus propias comunicaciones, pero pronto se dio cuenta de que esos dominios eran un imán para el correo ajeno. La razón es simple: incontables sistemas y personas escriben «noreply» como dirección de correo ficticia, asumiendo que nadie la controla.
Cuando Solovewicz empezó a recibir decenas de mensajes diarios, pensó que podría tratarse de un error puntual. Sin embargo, el volumen fue creciendo hasta convertirse en un torrente. En su presentación en DEF CON 34, mostró gráficos con la evolución de los correos entrantes: desde 2024, los buzones montados sobre esos dominios han acumulado más de 400.000 mensajes. Una cifra que, según el propio consultor, no ha dejado de aumentar.
¿Qué tipo de información sensible se filtró a través de los dominios «noreply»?
El contenido de esos correos no era basura publicitaria ni mensajes automatizados sin importancia. Solovewicz clasificó los datos que recibió y encontró ejemplos alarmantes. Entre los 400.000 mensajes destacan:
- Encargos de pizza con direcciones y números de teléfono personales.
- Solicitudes de empleo que incluían currículums, datos de contacto y referencias.
- Correos con información delicada enviados directamente por el ayuntamiento de una ciudad, incluyendo documentos internos y datos de ciudadanos.
- Configuraciones de correo electrónico de direcciones educativas, con credenciales y detalles de acceso a sistemas.
Estos ejemplos demuestran que no se trata de un error aislado: organizaciones de todos los tamaños, desde pequeñas empresas hasta administraciones públicas, han estado enviando datos sensibles a un dominio que no les pertenece. La información viaja sin cifrar, sin verificación de destino, y termina en manos de un extraño que, en este caso, decidió hacer pública la vulnerabilidad en lugar de explotarla.
Más de 400.000 correos con secretos: el alcance real de la filtración
Para dimensionar el problema, Solovewicz detalló que en su pico más alto llegó a recibir más de 1.000 correos al día. La mayoría de esos mensajes contenían archivos adjuntos, enlaces a sistemas internos, o texto plano con información confidencial. La naturaleza de los datos hace que este incidente sea particularmente grave: no se trata de una filtración de bases de datos robadas por hackers, sino de un goteo constante de errores humanos y de sistema que cualquier persona con acceso a un dominio similar podría aprovechar.
El consultor de seguridad explicó en DEF CON 34 que, al principio, pensó en eliminar los mensajes sin más. Pero al ver el tipo de contenido que llegaba, decidió documentar el fenómeno y alertar a los remitentes. «No me di cuenta de que esto iba a convertirse en un problema tan grande como ha resultado ser», reconoció durante su charla.
¿Por qué empresas y gobiernos envían correos a dominios «noreply»?
La pregunta que surge de forma natural es: ¿cómo es posible que organizaciones con sistemas de seguridad envíen datos sensibles a una dirección como noreply.net? Solovewicz propuso varias hipótesis en su presentación, basadas en el análisis de los mensajes recibidos:
- Confianza errónea en el nombre del dominio: Muchas personas asumen que «noreply» es una dirección segura, que nadie utiliza, y por tanto la emplean como marcador de posición en formularios o configuraciones.
- Uso de dominios ficticios en entornos de prueba: Desarrolladores y testers utilizan dominios como noreply.com, noreply.net o noreply.us como valores de relleno durante el desarrollo de aplicaciones. Si esos valores no se sustituyen antes de pasar a producción, los correos empiezan a enviarse a direcciones reales.
- Marcadores de posición que se convierten en riesgos: En muchos sistemas, los campos de correo electrónico se rellenan con valores por defecto como «[email protected]». Si ese dominio está registrado, los mensajes caen en manos de su propietario.
Estas prácticas no son aisladas. Solovewicz encontró que grandes corporaciones, instituciones educativas y hasta gobiernos locales habían enviado correos a sus dominios. La razón subyacente es cultural y técnica: la falta de verificación del destino real de los mensajes antes de enviarlos.
¿Qué es un honeypot y cómo se relaciona con este caso?
Un honeypot es una herramienta de seguridad informática que se utiliza para atraer a atacantes, simulando ser un sistema vulnerable. Los honeypots permiten a los expertos en ciberseguridad estudiar las técnicas de los hackers y recopilar información sobre amenazas. En este caso, Cory Solovewicz no buscaba crear un honeypot, pero su dominio se convirtió en uno de forma involuntaria. Al recibir correos de múltiples fuentes, actuó como un punto de recogida de datos sensibles que, en otras circunstancias, podrían haber sido explotados por actores maliciosos.
La diferencia clave es que Solovewicz decidió usar esa información para alertar a los remitentes y concienciar sobre el problema, en lugar de vender los datos o utilizarlos para chantaje. No obstante, el caso demuestra que cualquiera que registre un dominio como «noreply» o «noresponder» podría estar en posesión de secretos corporativos, gubernamentales y personales.
La respuesta de Cory Solovewicz: alertar a los remitentes y exponer el problema
Lejos de quedarse de brazos cruzados, Solovewicz se ha embarcado en un proyecto de notificación masiva. Está contactando a las empresas, organizaciones y particulares que han enviado correos a sus dominios para informarles de que están filtrando información. Su mensaje es claro: «Tenéis que arreglar vuestros sistemas, dejar de hacer esto y dejar de filtrar los datos de vuestros clientes, de vuestros empleados y vuestros propios datos internos».
La tarea es titánica: más de 400.000 mensajes implican cientos de remitentes distintos. Sin embargo, Solovewicz considera que la divulgación de este problema es más importante que el silencio. En su charla de DEF CON 34, instó a los profesionales de seguridad a revisar sus propias configuraciones de correo y a no asumir que los dominios «noreply» están muertos o son seguros.
¿Podría ocurrir lo mismo en español?
La pregunta es inevitable: ¿existe un equivalente en español para este tipo de error? El dominio «noresponder.es» está disponible, y cualquier persona podría registrarlo y encontrarse en la misma situación que Solovewicz. Dado que muchas empresas y administraciones en España y América Latina utilizan formularios, sistemas de notificación y configuraciones por defecto con direcciones como «[email protected]», el riesgo es real. Si un dominio como «noresponder.es» cayera en manos de un ciberdelincuente, las consecuencias podrían ser catastróficas: datos de clientes, credenciales internas, documentos legales, todo podría quedar expuesto.
La lección para las organizaciones hispanohablantes es clara: deben auditar sus sistemas para asegurarse de que ningún campo de correo electrónico utilice dominios ficticios o de terceros. Además, es recomendable que los administradores de sistemas verifiquen si dominios como «noreply» o «noresponder» están registrados y si reciben tráfico de correo no deseado de sus propias redes.
Implicaciones de seguridad y lecciones para empresas y desarrolladores
El caso de Cory Solovewicz no es una anécdota curiosa, sino una advertencia seria sobre la fragilidad de los sistemas de correo electrónico. Cada año, millones de mensajes se pierden o se entregan en direcciones incorrectas debido a configuraciones descuidadas. La falta de validación de dominios en formularios web, la reutilización de valores de prueba en entornos de producción y la confianza ciega en direcciones como «noreply» son prácticas que deben erradicarse.
Para los desarrolladores, la recomendación es utilizar siempre dominios propios y verificados, incluso en entornos de prueba. Para las empresas, implementar sistemas de validación de correo electrónico (como SPF, DKIM y DMARC) no solo protege contra el phishing, sino que también evita que los mensajes se envíen a direcciones no controladas. Y para los particulares, la lección es no asumir que una dirección como «noreply» está desierta: si algún sistema suyo utiliza esa dirección, es momento de cambiarla.
Una historia que debe servir como catalizador del cambio
La historia de Solovewicz ha recorrido el mundo de la ciberseguridad gracias a su presentación en DEF CON 34 y a la cobertura de medios especializados. Pero más allá de la anécdota, el verdadero valor de este caso está en la evidencia tangible de que la seguridad del correo electrónico sigue siendo un punto ciego para muchas organizaciones. Con más de 400.000 correos y datos sensibles de todo tipo, el mensaje es inequívoco: hay que dejar de enviar secretos a nadie, especialmente a direcciones que cualquiera puede comprar por unos pocos euros.
