Комментарии 63
Где-то с год назад одна незнакомая мне дама, фамилия которой совпадает с моей, решила взять кредит в ОТП-банке. И по неясной мне причине указала в контактах адрес <наша_общая_фамилия@mail.ru>. Почтовый ящик с этим адресом уже дохрена лет принадлежит мне.
Теперь я знаю, какой ноутбук эта дама купила в кредит, как его выплачивала (умница, ни одной просрочки!). Ну и уже после этого банк регулярно бомбит еë меня спамом типа "оставьте личные деньги для сбережений, оплачивая покупки кредитной картой с лимитом до 600 000 рублей".
А недавно контакты еще и в ВТБ продали, оттуда тоже спам пошел. Отписаться от ОТП не выходит, для этого надо полноценно авторизоваться, чего я по очевидным причинам не могу сделать.
Нey, you, научитесь, что ли, верифицировать email, прежде чем добавлять его в качестве контактного!
Если емэйл короткий и простой - это вообще проблема. Народ не утруждает себя - указывает почту "от балды", и их письма уходят не тем людям.
Мой емайл в том же ОТП указала какая-то гражданка из очень Средней Азии. Я им сразу отписался - что эта тетка подозрительная и кредит не вернет, и потребовал удалить мой адрес. Тетка кредит не вернула, что логично, и через полгода мне начали написывать сначала банк, потом коллекторы - ну тут я оторвался по полной программе, ехидничал, обзывал желтыми земляными червяками и т.д. ))) Спустя примерно год затихли.
Вроде можно в ЦБ пожаловаться и для банка не проверяющего емейлы это будет уже не бесплатно...
Писал, от ЦБ пришла отписка в стиле - не вмешиваемся в отношения банка с клиентом, сами с банком судитесь, если охота. Причем указывал в письме ЦБ, что уведомил ОТП о нарушении работы с ПД клиента, и банк продолжил присылать мне чужие данные.
А так да, согласен, что за привязку емэйла и телефона к учеткам клиентов без их верификации - надо #@$#@$ без вазелина, и с патефонными иголками.
Насчёт ПД - предположу, что в договоре с банком клиент соглашается, что его ПД могут посылаться на адрес, который он указывает.
Банки все равно обязаны верифицировать почту, есть такое требование в п. 5.2.1 положения ЦБ N 851-П
Юристы фчате есть? На основании вышеуказанного положения что я могу потребовать от банка по поводу нарушения? КИЛО ВАРЕНЬЯ И ПАЧКУ ПЕЧЕНЬЯ?
Спасибо, да, в положении от 2025 года это уже закреплено. Хотя насчет телефонного номера в начале фразы есть оговорка...
В случае если банковская операция осуществляется с использованием мобильной версии приложения, кредитные организации, филиалы иностранных банков должны проверить использование клиентом - физическим лицом абонентского номера подвижной радиотелефонной связи в случае его использования во взаимоотношениях с кредитной организацией, филиалом иностранного банка и использовать полученные сведения при анализе характера, параметров и объема совершаемых их клиентами операций (осуществляемой клиентами деятельности).
........
Кредитные организации, филиалы иностранных банков должны реализовывать механизмы подтверждения использования клиентом адреса электронной почты в случае его использования во взаимоотношениях с кредитной организацией, филиалом иностранного банка, на который кредитной организацией, филиалом иностранного банка направляются уведомления о совершаемых банковских операциях, справки (выписки) по совершенным банковским операциям.
у меня есть ящик с очень-очень-очень простым названием из двух букв на популярном почтовом сервисе - тем десятки таких писем в день, сейчас наверно с двести учеток Триколора, оплата штрафов, рассылки банков
сейчас неразбранных писем порядка 140 тысяч
нормальное письмо там еще искать надо ))
Если бы было на Яндексе или на Гмыле - было бы весело, после переноса писем на яндекс диск и гугл драйв соответственно))
У меня был двухбуквенный ящик. К которому я протерял доступ по причине настойчивого желания почтового сервиса получить от меня номер телефона, дату рождения, привязку к ГУ и прочее.
Я горевал, но после вашего рассказа думаю - может и хрен с ним? :)
А как это получается? почтовый сервис обычно проверяет, зарегистрирован ли такой email у него в базе и не даëт зарегистрировать такой же. Или коротких это не касается?
О! Точно такая же фигня. Один чувак и в банке мой ящик юзал и в каршеринге и в магазине запчастей :) Сначала боролся, потом забил, а потом затихло.
Аналогичная ситуация и у меня. Много всякого было. Короткий email на который по ошибке приходят регистрации, это самое безобидное. Из самого забавного: молча наблюдал переписку разных отделов одной компании где обсуждали стоит ли оформлять кандидата и на каких условиях. Я не выдержал и ответил, что парень хороший брать надо и отметил, что стоит поднять оклад. Потом написал их директору, что они по ошибке указали мой email. Он сначала не понял, а потом как понял.
Регистрации, коммерческие предложения, согласования документов, ОСАГО полисы.
Боюсь представить, что во входящих у людей с email вида ivanov@
Боюсь представить, что во входящих у людей с email вида ivanov@
У меня типа такого (там фамилия другая, но тоже распостраненная и ещё первая буква имени есть) на гмайле. Много разного интересного читаю иногда. Особенно жалко было парня у которого перенесли рейс из Канады куда-то в Европу на пару часов пораньше.
Почтовый ящик Вам не принадлежит. Мне вот дохрена дет (ну под 20 где-то) тоже принадлежал один ящик, а недавно обрадовали, что домену всё, перерегистрируйтесь везде где уже успели зарегистрироваться. И я такой:а идите к чёрту. В итоге в ящик зайти можно, даже приходит рассылка стабильно от одного интернет-магазина, которую я когда-то спамом пометил (это как вообще), а так на ящик ничего не прислать.
Вот Вам и принадлежит, а ведь до гугла был основным.
А мне одно время какой-то индийский банк активно слал выписки по чьей-то карте, одноразовые пин-коды и чеки по операциям.
Я им несколько раз писал, и в поддержку, и в их официальный экс-чирик, вроде прекратили. Потом опять началось. В итоге просто сделал правило, которое отправляет эти письма в корзину.
Извините, но я — совсем тёмный. Не понимаю, как могут приходить кому-то какие-то письма. Допустим, на noreply.us установлен почтовый сервер, то, верно ли я понимаю ситуацию, что этот сервер может принять входящее письмо по адресу "[что-то-там]@noreply.us"?
Да, если в изначальном письме от робота или рассылки стоял обратный адрес (поле From) вида letter@noreply.us
Только не from, а reply-to. Домен из адреса в поле from проверяется по DMARC
Не понимаю, как могут приходить кому-то какие-то письма.
1) Злоумышленник Пользователь указывает в качестве обратного адреса "Мегахаццкер@непишитемне.нет".
2) Сервис добропорядочно миллион лет делает рассылку на этот адрес, но с той стороны никто не отвечает.
3) Мегахаццкер Исследователь покупает сайт "непишитемне.нет" и начинает принимать на нём почту. Теперь рассылке есть куда приходить.
4) ???
5) PROFIT Статья
я "Статья" прочитал с двумя смыслами :)
Не так.
юзер взаимодействует с сервисом.
сервис присылает какое-то уведомление to:"Уважаемый Клиент"<dear_user@goodmail.com> from:"ВажныйСервис.com"<nobody@noreply.net> "это автоматическое письмо, отвечать не надо, пишите в спортлото по ссылке на сайте"
юзер хочет ответить на уведомление, но вместо этих анальных огородок со ссылками или веб-мессенжерами просто жмёт "Ответить" и пишет письмо с чувствительными данными
почтовый клиент добавляет адрес "ВажныйСервис.com" в контакты
в следующий раз юзер самостоятельно пишет на деревню хацкеру
с той стороны никто не отвечает.
С той стороны MTA постоянно шлют отлупы, что такого адреса не существует — но доктор, меня все игнорируют.
никто не отвечал пока "ИБ - исследователь" не купил этот домен и не настроил соответстующим образом почту на нём
Осталось example.com прикупить :)
Вы не знаете, как работает почтовый роутинг. Клиент передаёт письмо тому, кто указан как smarthost (а обычно там указан его провайдер); тот несколько дней пытается его доставить — а после того, как все попытки не удались, возвращает письмо отправителю со словами «ну не шмогла я, не шмогла».
Скорее всего, дело обстоит так:
1) Где-то есть рассылка или отправка информации пользователям, один из получателей которой, например, адрес vasya_pupkin@какой-то_домен.com. В адресе отправителя создатель рассылки по причине криворукости, непонимания последствий или нежелания разбираться с ответами вместо нормального noreply@свой_домен.com прописывает noreply@noreply.us. Вот такой он умный, как будто прикольное имя домена кто-то кроме него читает.
2) Адрес получателя vasya_pupkin@какой-то_домен.com в какой-то момент становится недействительным, например, пользователь удаляет ящик / увольняется, или адрес сразу таким и был из-за опечатки или намеренного неправильного ввода. Почтовый сервер получателя отвечает отправителю сообщением о недоставке письма (NDR), прикрепляя исходное письмо к NDR.
3) Поскольку адресом отправителя указан noreply@noreply.us, почтовый сервер получателя на него и отправляет сообщение о недоставке, вместе с исходным сообщением.
4) Почтовый сервер исследователя безопасности, обслуживающий домен noreply.us и прописанный там в MX, получает письмо о недоставке с приложением исходного. Исследователь изучает его и пишет статью.
Кстати, есть вариант, как со стороны исследователя безопасности, если ему это действительно нужно, существенно снизить количество такой почты. Достаточно в SPF/DMARC записях (а в идеале и настроить DKIM) домена norelpy.us прописать, что никто, кроме владельца домена (ip или A-запись), не может отправлять почту от имени домена. В результате большинство почтовых серверов получателей будут отвергать почту с доменом noreply.us, или отправлять её в спам. Но тогда не о чем будет писать статью.
Скорее всего, этот адрес зашит в качестве дефолтного в настройках какой-нибудь относительно популярной почтовой библиотеки, а использующие её шимпанзе просто не удосужились поменять его.
прописать, что никто, кроме владельца домена (ip или A-запись), не может отправлять почту от имени домена
Так они и не отправляют от имени домена, они отправляют в его адрес.
Насколько я понимаю схему доставки - на его адрес возвращается NDR, а исходное письмо идёт на нормальный, человеческий адрес, от имени noreply@noreply.us - в таком случае владелец домена noreply.us вполне может существенно осложнить жизнь ленивых рассыльщиков.
Или вы про тот вариант, когда живые люди, получив письмо от noreply@noreply.us, пишут и отправляют ему ответ руками?
В оригинальной статье есть вот такое:
"After originally planning to use the noreply.us domain as a catch-all email—which receives mail sent to any @ address on that domain—to filter messages and enhance his privacy, the researcher quickly noticed that other systems were sending mail to @noreply.us addresses. “I created an accidental honeypot,” Solovewicz tells WIRED. “I had no idea it was going to turn into this.”
Companies may send emails to [companyname]@noreply.net or similar variations believing they aren’t going anywhere, or could not be monitored in any way. Broadly it’s also possible that they may transform a person’s individual email address to send to one of these placeholder style domains if someone leaves a company or deletes their account."
То есть многие почему-то изначально на этот домен письма отправляют. То есть, это даже не ответы или отправка почты с неправильного домена. Это именно отправка почты не туда куда надо как я понял.
400 тысяч писем за полтора года — впечатляет. Самое неприятное тут даже не количество, а то, что среди этих писем реально встречаются чувствительные данные. Похоже, многие до сих пор воспринимают noreply@ как какой-то специальный защищённый адрес, хотя это просто имя ящика
400 тысяч писем за полтора года — впечатляет.
А сколько это в процентах от всего почтового трафика?
В целом если за пол года на одном региональном сайте я увидел 500+К регистраций (спам) пользователей, и соответственно столько же отправленных писем с рег инфой. Думаю не много. Хотя, тут опять же... Что имеется в виду под "всем трафиком", тут то уже можно получить данные которые можно использовать, хотя и не должны быть использованы третьими лицами. Вопрос ваш сударь, интересен, и без 0.5 его мы не осилим!)))
Ну, где-то в 2010-м, когда я админил микроскопический почтовый сервер на десяток ящиков в одном домене, исключительно по правилу RDNS режектилось в среднем от 100 до 1000 писем в минуту (преимущественно, так детектировался спам от ботнетов). Так что 400000 писем за полтора года - это "ни о чём".
Я тоже что-то не очень понял. Обычно noreply ставят слева от “собаки”, а не справа, вот так привычно: noreply@company.net, а вот так - нет: company@noreply.net
опечатки, ошибки. Если бы челу "вообще все письма noreply@ приходили..." - там не 700, там 700к (если не 7 млн) в сутки приходили
В 99% процентах случаях - да, именно так.А в одном оставшемся процентике - noreply по каким-то разнообразным соображениям оказывается таки справа от собаки. И в ответ на этот процентик автор статьи наполучал указанную гору писем...
Зачет. На самом деле каждый кто делает noreply письма - идиот. Добровольно отказываться от канала коммуникаций, этож додуматься надо...
Не идиот, а анально огороженный, с маленьким бюджетом на спаморезку.
Кому хватило сил настроить антифлуд-антиспам в веб-форме или вовсе положиться на механизмы верификации в мессенджерах, но уже не хватило настроить почтовый сервер.
Лихо ты сейчас огромное число крупных и не очень компаний идиотами назвал. На немалом числе проектов, в разработке коих я принимал участие есть ящики noreply@домен или no-reply@домен. Они нужны для односторонней информации. Например, приходит тебе новое сообщение в нем ссылка чтобы сразу внутренний (ну или CRM) мессенждер открылся - зачем в этом случае не noreply?
Или приходит оповещение от сервиса, что создан новый документ в аналоге трелло - зачем тут не no-reply?
Или пришло уведомление от вордпресса, что сайт обновлен - кому и зачем не noreply?
Так что скорее не мы идиоты, а ты идиот, раз не знаешь зачем такие ящики.
Так что скорее не мы идиоты, а ты идиот, раз не знаешь зачем такие ящики.
Вопрос был не том, что «человек не знает, зачем такие ящики», а в том, что 95% людей всё равно пишут на noreply, и поэтому если не иметь такого ящика, то можно иногда (редко, но всё‑таки!) пропустить что‑то важное. По опыту говорю. И дяденька @Milfgard говорит.
А я бы сказал что НЕ редко можно чтото пропустить.
Дяденька @Milfgard, кстати, довольно подробно объясняет, если мне память не изменяет. Но даже если его не читать (и многих других), то: человек хочет вам(нам) написать, вопрос у него, проблема, благодарность или денег дать вам хочет, не важно. А мы с вами такие "нет! коммуникация не пройдет! не хочу ничего слышать!" и вместо указания общей почты потипу info@company.com ставим noreply и делаем его не алиасом info > /dev/null, и делаем это потому что.... а почему собственно? Деньги наверное лишние.
А вообще, оратору выше: как скажете.
PS а еще, просто так, между делом: сообщения о системных операций в качестве ответа могут вполне себе принимать любой текст для добавления комментария к сущности, это довольно удобно.
Например, приходит тебе новое сообщение в нем ссылка чтобы сразу внутренний (ну или CRM) мессенждер открылся - зачем в этом случае не noreply?
потому что я например - возможно один раз кликну даже по той ссылке. откроется допустим Play Store с предложением установить мессенджер, после установки - разумеется пойдут предложения залогинится. А бывает хуже - открывается веб-версия Play Store, в Firefox(он у меня браузер по умолчанию).
А вероятнее - даже кликать не буду. Просто напишу ответ, если надо было больше отправителю - это его теперь забота искать ответ (ну или со мной связываться с работающей почты). Если надо все же мне - возможно потом свяжусь с конторой если не будет реакции и они получат скандал, c моей точки зрения - им был дан ответ который они хотели а они его проигронировали.
А еще бывают веселые приколы когда веб ссылка что-то открывает. Должна открывать. Вот только это что-то то либо просто не работает либо этому чему то - не нравится мой IP например. Если это была рассылка - она теперь будет метится как спам (отправитель думаю очень рад).
и - да, я отлично знаю что те кто так настраивают почты не хотят их читать.
у корректно сделанных систем (большая часть софта Atlassian например так умеет насколько помню) ответ на такое письмо просто добавляет комментарий к тому объекту откуда письмо.
Если речь про чисто внутренний сервис - да, признаю, ситуация может быть другой. Но все равно на раз получить ситуацию то что автор системы подразумевал - сделать не получится. E-mail - инструмент универсальный.
А ж ты хитрая ты ☆○□△ !
Лет двадцать назад мне сыпались письма, адресованные одному моему однофамильцу. Фишка в том, что второй участник переписки, судя по всему, был прожектёр-аферист, и в письмах было описание прожекта, на который он просил денег. Там была совершенно чумовая транспортная система, которая гиперлупу Маска сто очков вперёд даст. Нерабочая, разумеется.
Ууу, мне на короткий почтовый приходит: покупка страховки авто в Грузии, причём на разных клиентов, видимо агент оформляет, покупка в Казахстане ж/д билетов на всю семью, причём семьи разные, угрозы отключить телефон в случае неуплаты из питерской телефонной и т.д. и т.п. )
До сих пор никто не вспомнил @Milfgard, который читал свой ящик noreply?
Тоже есть один ящик с персонажем из мультфильма. Особо не страдаю, в основном просят верифицировать. Но от Аэрофлота охреневаю — билеты, регистрации.
Но от Аэрофлота охреневаю — билеты, регистрации.
В качестве прикола — если в приходящих емейлах есть ссылка "нажмите сюда, чтобы отменить (регистрацию, билет и т.п.)" — не забывайте её пощёлкать. А чо — сами ж Вам написали и предлагают. А вот любитель вводить неправильные емейлы задумается. Ну, может быть.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
ИБ‑исследователь купил домен noreply.net и получает на него корпоративные данные от разных компаний