brake-handle 曰く、
Richard M. SmithがFull-Disclosureに宛てたメールによると、未使用の*.comおよび*.netを乗っ取った VeriSignが、今度は乗っ取ったドメイン向けにSMTPサーバを立ち上げ、乗っ取ったドメイン宛のメールを受信していたことが分かった。Richardの質問に対し、VeriSignはMTAによるqueryの増加を防ぐためと説明している。しかし、VeriSignが立ち上げたSMTPサーバは、SMTPのRCPT TO:コマンドに対して常にOKを返し、DATAコマンドをクライアントに発行させメール本文を受信してしまうとされている。Joshua Levitskyは、VeriSignは実際にはメールを収集し、現在使われているメールアドレスをspammerに横流しするのではないかと懸念している。
手元で試験してみたところ、少々SMTPサーバの挙動が変わっており、RCPT TO:に対しては宛先ドメインの存在に関わらず、常に以下のような応答が返るようになっていた。
550 : Client host rejected: The domain you are trying to send mail to does not exist.
しかし、MAIL FROM:に対しては常にOKを返してしまう。現在SMTPを定義しているRFC2821の3.3 Mail Transactionsでは、メールの送信は最初にMAIL FROM:、続いてRCPT TO:を送信しなければならない。ゆえに、VeriSignはRCPT TO:を弾いたところで、依然メールアドレスの収集が可能である。特に、MAIL FROM:で指定されたreverse-pathがPOP before SMTPやSMTP AUTHによって認証されたものであれば、それが存在するメールアドレスであるのは間違いない。その結果、ノイズの少ないメールアドレスの収集が可能になってしまう。
...我々は、こんなおぞましい組織に多くの利用者を抱えるドメインの管理を任せていたのか。