Telset.id – Kebocoran data perusahaan bisa terjadi melalui celah yang tidak pernah disangka, yaitu domain email yang tampak seperti alamat pengirim otomatis. Seorang peneliti keamanan bernama Cory Solovewicz mengungkapkan bahwa domain noreply.us dan noreply.net yang ia miliki telah menerima sekitar 401.796 email berisi informasi pribadi dan rahasia perusahaan sejak Desember 2024.
Solovewicz, yang membeli domain tersebut pada 2020 dan 2024, awalnya hanya berniat menggunakannya sebagai catch-all email untuk menyaring pesan dan meningkatkan privasi. Namun, ia segera menyadari bahwa sistem internal berbagai perusahaan justru mengirimkan data sensitif ke alamat @noreply.us dan @noreply.net. Temuan ini dipresentasikan dalam konferensi keamanan Defcon kemarin.
“Ia menciptakan honeypot yang tidak disengaja,” demikian pengakuannya kepada WIRED. “Saya tidak menyangka akan menjadi sebesar ini.” Perusahaan mengirim email ke alamat seperti [namaperusahaan]@noreply.net karena mengira alamat tersebut tidak akan dipantau siapa pun. Praktik ini kerap terjadi ketika karyawan keluar dari perusahaan atau akun pengguna dihapus, sehingga sistem mengubah alamat email asli menjadi domain placeholder.
Ribuan Pesan Berisi Data Sensitif
Data yang diterima Solovewicz sangat bervariasi, mulai dari laporan cedera dari pemerintah kota, konfirmasi pesanan pizza, hingga email pembuatan akun dari platform sekolah. “Saya menerima perintah layanan untuk orang yang membutuhkan perbaikan. Saya juga banyak menerima kredensial platform uji coba,” ujarnya.
Solovewicz mencatat bahwa domain noreply.net yang ia miliki adalah yang terbesar dan telah menerima 400.000 pesan selama satu setengah tahun kepemilikan, dengan 28.365 di antaranya mengandung lampiran. Sementara domain noreply.us telah menerima 37.255 pesan selama 2.345 hari sejak dibeli pada 2020. Dalam sebulan terakhir sebelum presentasinya, kedua domain tersebut secara gabungan menerima lebih dari 11.000 pesan.
Total, email masuk berasal dari lebih dari 14.000 alamat pengirim dan 6.200 domain utama. Solovewicz menegaskan bahwa pesan-pesan ini dikirim secara otomatis oleh sistem perusahaan, bukan ditulis oleh manusia. Masalah ini sebenarnya bukan hal baru, karena hampir 20 tahun lalu jurnalis keamanan Brian Krebs sempat menulis tentang perusahaan yang mengirim jutaan pesan ke alamat @donotreply.com.
Upaya Pengamanan dan Kesadaran Publik
Fenomena serupa juga dialami Mike Sheward, kepala keamanan di perusahaan pengisian kendaraan listrik Xeal. Ia membeli domain deleteduser.com seharga sekitar 15 dolar AS pada awal tahun ini. “Dalam satu jam pertama, sudah ada tiga organisasi berbeda yang mengirim email ke @deleteduser.com,” kata Sheward. Ia telah menerima ribuan email tak terduga dari setidaknya 100 organisasi berbeda, termasuk detail pesanan Viagra, persetujuan cuti kerja, pemesanan hotel dengan nama lengkap, hingga undangan rapat Zoom dari lembaga pemerintah Inggris.
Sheward juga mengungkapkan bahwa salah satu sumber email paling sering berasal dari perusahaan AI yang menggunakan teknologi pengenalan objek untuk mendeteksi pekerja di lokasi industri di Timur Tengah. Ia telah menerima ribuan tangkapan layar CCTV dari perusahaan tersebut.
Baik Solovewicz maupun Sheward telah membeli lebih dari 30 domain untuk membatasi potensi pihak jahat meniru pendekatan ini. Dalam presentasinya, Solovewicz menjelaskan bahwa ia telah membangun probe untuk menguji apakah domain placeholder lain mungkin dikonfigurasi untuk menerima email. “Saya telah memindai 7.136 domain, dan 328 di antaranya teridentifikasi memiliki kotak masuk catch-all yang dikonfigurasi,” ungkapnya. “Kekhawatiran saya adalah bahwa apa yang saya temukan secara tidak sengaja hanyalah puncak gunung es.”
Kedua peneliti telah berupaya memberi tahu perusahaan yang sistemnya salah konfigurasi. Hasilnya beragam, sebagian organisasi diam-diam memperbaiki masalah, tetapi banyak yang tidak merespons. Soloweicz menekankan bahwa orang tidak boleh menganggap domain tidak dipantau. “Ini sudah seperti pekerjaan penuh waktu untuk menangani setiap email ini. Itulah bagian dari motivasi saya untuk membicarakan hal ini—ini adalah pengungkapan yang bertanggung jawab. Perusahaan perlu memperbaiki sistem mereka dan tidak membocorkan data pelanggan, data karyawan, dan data internal mereka sendiri.”
Solovewicz berharap perusahaan dan organisasi mau mengaudit sistem mereka dan memperbaiki kesalahan konfigurasi. Ia menegaskan bahwa masalah ini sebenarnya dapat dihindari, misalnya dengan menggunakan domain internal atau domain .invalid yang dijamin tidak akan ada. Ancaman kebocoran data melalui domain noreply ini menjadi pengingat bahwa keamanan siber membutuhkan perhatian pada detail-detail kecil yang sering terlewatkan.
Komentar
Belum ada komentar.