科里·索洛维奇收到的垃圾邮件比你多。真的——多得多。自2024年12月以来，安全研究人员收到的一个域名已注册了401,796封邮件——根据他的计算，这平均每天699.99次提示。这场洪流不是常见的垃圾邮件、时事通讯和不必要优惠的普通泛滥。相反，公司和其他组织无意中将其他人的私人信息和公司机密发送给索洛维奇。在过去几年中，他收到了城市政府的事故报告，确认人们的比萨订单，以及学校平台的账户设置邮件。“我收到需要维修服务的人的订单。我收到了很多测试平台的凭据，”索洛维奇说，他是一名安全研究员和顾问。索洛维奇之所以收到如此大量的信息，是因为他拥有域名 noreply.us 和 noreply.net，这两个域名分别是在2020年和2024年购买的。最初他打算将 noreply.us 域名用作接收所有邮件的邮箱——它接收发送到该域名任何 @ 地址的邮件——以过滤信息并增强个人隐私，但研究人员迅速注意到其他系统向 @noreply.us 地址发送邮件。“我创建了一个意外的蜜罐，”索洛维奇告诉《连线》。 “我根本不知道这会变成这样。”公司可能会向 [公司名称]@noreply.net 或类似变体发送电子邮件，认为它们不会被发送或无法被监控。一般来说，如果有人离开公司或删除了他们的账户，他们也可能会将个人电子邮件地址转换为这些占位符样式的域名。这个原本是个人邮件项目的事情变成了一个大规模的努力，以警告企业和其他团体他们的内部系统配置错误，并意外分享敏感信息。索洛维奇在昨天的 Defcon 安全会议上展示了他的工作，他说最终他感到宽慰，因为，他收到这些域名，而不是可以恶意利用数据的黑客或国家机构。“我没有意识到这会成为一个如此严重的问题，”索洛维奇说，他没有公开指明受影响的实体。研究人员一直在提醒受影响的公司他们的问题，鼓励他们修复错误和配置错误。“我只想让公司和组织做正确的事情，审计他们的系统并修复他们的东西。”索洛维奇表示，noreply.net 域名是他拥有的最大一个，自他拥有以来已经收到400,000封邮件，其中28,365封包含附件。自2020年购买以来，noreply.us 域名在2,345天内收到37,255封邮件。在他发言的前一个月，这两个域名总共收到了超过11,000封邮件。总体来讲，邮件是从超过14,000个“发件人”地址发送的，来自6,200个根域名。研究人员表示，这些消息是由公司系统自动生成的，而不是人为编写的。尽管这个问题并不新鲜——近20年前，独立安全记者布莱恩·克雷布斯，当时在《华盛顿邮报》工作，写道公司向 @donotreply.com 邮件发送了数百万封消息——但它本质上是可以避免的。例如，公司可以使用内部域名或保证不存在的 .invalid 域名。索洛维奇并不是在这个自愿的事业中孤军奋战，这项工作帮助保护了公司的数据——常常是大型的。今年早些时候，电动车充电公司 Xeal 的安全主管迈克·舍沃德花了大约15美元购买了域名 deleteduser.com。“在第一个小时内，有三个不同的组织向 @deleteduser.com 发送了东西，”舍沃德告诉《连线》，指出公司似乎只是改变了电子邮件地址，而不是完全从他们的系统中删除账户。和索洛维奇一样，舍沃德看到成千上万封意外电子邮件从多个他现在拥有的域名寄来，其中至少有100个不同的组织。他收到的邮件详细说明了人们的伟哥订单，询问他是否批准人们的工作假期或请假，包含人们全名的酒店预订，以及来自英国政府机构的 Zoom 会议邀请。“有很多网络安全公司，还有一些微软的合作公司，”舍沃德说。几周前，他收到了旧金山一家公司夏季烧烤的邀请，地址是“亲爱的已删除用户”。舍沃德表示，其中一个最频繁的电子邮件来源，是一家人工智能公司，它使用物体识别技术来检测在中东工业场所的工人是否遵循安全协议。他说，研究人员收到了来自该公司的数千张监控摄像头静态图像。“我正在做一个互联网垃圾箱的好监护人——但如果我是一名不合适的人，就会出现问题。”