Peneliti keamanan Cory Solowewicz membeli dua domain yang sekilas terlihat seperti infrastruktur perusahaan: noreply.us pada 2020 dan noreply.net pada 2024. Keduanya bukan domain biasa. Sejak Desember 2024, salah satunya menerima 401.796 email, rata-rata 699,99 pesan per hari. Volume sebesar ini bukan spam acak: email dikirim otomatis oleh sistem perusahaan dari lebih dari 14.000 alamat 'from' dan 6.200 root domain. Artinya, ini pola sistemik yang tersebar di ribuan organisasi.
Riset Domain noreply.us dan noreply.net
Isinya bervariasi tapi sensitif: laporan cedera dari pemerintah kota, konfirmasi pesanan pizza, email pembuatan akun sekolah, service order, sampai kredensial platform testing. Dari total ribuan pesan itu, 28.365 di antaranya datang dengan lampiran—bukan cuma teks biasa, tapi file mentah dari sistem internal. Noreply.net menampung sekitar 400.000 pesan selama satu setengah tahun; noreply.us menerima 37.255 pesan dalam 2.345 hari. Gabungan keduanya mencapai lebih dari 11.000 email dalam sebulan sebelum presentasinya di Defcon.
Penyebabnya membosankan tapi justru itulah masalahnya. Banyak perusahaan memakai format noreply@domain-perusahaan.com. Saat sistem salah konfigurasi atau ada typo pada DNS, email yang seharusnya tak terkirim itu masuk ke domain .us/.net milik Solowewicz. Server di domain itulah yang menangkap semua pesan. Ia tidak mempublikasikan nama organisasi terdampak; ia menghubungi mereka satu per satu agar sistemnya diaudit. Tujuannya bukan ekspos, tapi pencegahan—lebih lambat, namun lebih bertanggung jawab daripada mendramatisasi temuan di depan publik.
Masalah ini bukan sekadar cerita peneliti yang beruntung, melainkan soal praktik pengiriman email perusahaan yang dianggap aman padahal tidak diverifikasi. Bukan soal satu vendor, tapi standar yang tidak pernah diaudit. Selama format no-reply@ dipakai tanpa pengecekan alamat tujuan, data akan terus bocor ke tempat tak terduga. Baca laporan lengkapnya di WIRED atau simak berita Teknologi lainnya di Gameindo.
Kalau sistem kamu masih mengirim email penting dengan alamat no-reply, cek dulu ke mana alamat itu benar-benar mengarah sebelum orang lain menemukannya. Biaya audit DNS jauh lebih murah daripada biaya menjelaskan kenapa data pelanggan bocor ke orang lain.
