INC-2025-001: Ausnutzung von Sophos Email zum Senden von Spam-Nachrichten

Apresentação

No dia 14 de abril de 2025, às 15h54 UTC, surgiu um relato de que usuários estavam recebendo spams que se originavam do domínio sophos.com. Assim que foi informada, a equipe do Sophos Internal Detection and Response começou a investigar o fato.

Nossa investigação constatou que estavam sendo usadas contas de avaliação para explorar um lapso na lógica de como o Sophos Email valida se os remetentes estão ou não autorizados a retransmitir através do nosso serviço de e-mail na nuvem.

Nossa equipe agiu imediatamente e bloqueou as contas e IPs envolvidos no abuso durante a investigação de como os hackers foram capazes de burlar a política de validação.

A investigação determinou que a lógica usada para limitar a conta de um cliente a apenas o envio de e-mail a partir dos domínios que o cliente controla não era suficientemente rigorosa. Foram implementadas soluções permanentes para prevenir o uso indevido no futuro. Também foram impostas restrições às contas de avaliação para prevenir tentativas de encontrar falhas executadas por contas não verificadas.

Impacto

Os hackers foram capazes de enviar cerca de 1,9 milhão de mensagens de spam não maliciosas através dos gateways da Sophos. O abuso utilizou-se, principalmente, de endereços de e‑mail com saída info [ARROBA] sophos [PONTO] com e news [ARROBA] sophos [PONTO] com, mas incluiu 30 mensagens que clonaram os domínios de 12 clientes do Sophos Email. Todos os clientes afetados foram notificados pelo Suporte da Sophos.