Почтовой сегмент РЖД взломали?

Захожу я значит на почту, вижу вот такое интересное сообщение:

Сразу же подумал, что письмо скамерское, однако смутило название ящика "noreply@rzd.ru", его нереально выцепить, оно может принадлежать только реальному РЖД.

Ну конечно же пройти мимо такой истории я не мог, поэтому пытаюсь разобраться как же так вышло.

Сверху видно плашку от самой почты, что ресурс подтвержден. Ну а ссылка tesla-cs (не заходите на сайт, мало ли там ВПО зашито, дальше скрины будут), очевидно, левая. В первую очередь перехожу по нижней ссылке www.rzd.ru, мало ли похожие символы и т.п. Кидает на офф. сайт ржд. Тогда уже перехожу по полной ссылке, действительно появляется сообщение, что аккаунт подтвержден, сказать, что я был удивлен - ничего не сказать.

Ну что ж, гуглю адрес сайта tesla-cs (еще раз, НЕ заходим), яндекс показывает, что сайт был создан, ну или изменен 14 октября (для меня это уже вчера), захожу на сайт, вижу следующую картину:

Ссылка поменялась - база, оформлен сайт также довольно хреново - база, есть какой-то чат для правдЕподобности - БАЗА.

Ну и чтобы вопросов совсем не было, открыл страницы с разных браузеров, везде одно и тоже, включая чат, однако тайминги сообщений в "чате" разные.

Ну а теперь начинаем разбираться, как же так вышло, что с офф. почты РЖД приходят скамерские письма. Как уже было сказано выше, акк я активировал, хочу в него теперь зайти.

Восстановил через запрос на сайте сначала логин, а потом и пароль, сообщения на почту, кстати, летят все с той же почты "noreply@rzd.ru".

Ну а теперь (барабанная дробь) развязка истории, если кто-то уже понял в чем дело, напишите в каменты, может кто-то с таким сталкивался и знает о данной "уязвимости".

Да, челы запихали огромную строку со скамерской херней в качестве Фамилии при регистрации, вот так просто.

Ну и пояснение небольшое, если кто-то все еще не понимает. При регистрации на сайтах, вы можете указать любую почту, логин и пароль, ровно как имя и фамилию, но доступ будете иметь к акку только если реальный владелец этой почты подтвердит акк.

Здесь возникает вопрос закономерный: "почему не стоит лока в виде 20-30 символом при регистрации?" - для меня это просто загадка, можете сказать, конечно, что у нас многонациональное государтсво, встречаются люди с именами в 100 символов, но я таких не встречал, ну и как правило у всех нормальных кантора стоит лок в 20 символов+-, то, что не влезло, ну получается, что не влезло.

А как вишенка на торте - ссылка светится и является кликабельной.

Да, многие скажут: "нет имени и фамилии в письме", но лично я на это внимания ваще не обратил, когда видишь такую херню, сложно подмечать любые мелочи. В остальном, сделано очень круто, мое почтение авторам.

P.S. Вообще не знал в какой подсайт пихать (самое чевидное - инфобез, но там он мертворожденный, насколько я понимаю), поэтому воткнул в no context, надеюсь можно будет перекинуть, если подскажите место получше.

P.S.S. За оформление тоже не душите пж, я рид онли, за все время писал тут пост 1 раз, толком за красивое оформление не шарю.