¿El reenvío de correo electrónico es una práctica totalmente insegura?

Tienes razón, pero considera esto:

La mayoría del tráfico de correo electrónico se realiza en texto sin formato. Los correos electrónicos toman varios saltos mientras se enrutan al servidor de correo de destino. Todos los enrutadores intermedios pueden leer el correo electrónico si lo desean. Esto incluye enrutadores domésticos muy inseguros que nunca obtienen actualizaciones de seguridad.

Encontrar el servidor de correo de destino implica la recuperación de registros MX para el nombre de dominio. Esto abre otro lugar de ataques. Si logra convencer al servidor de envío de que es el destino correcto, puede redireccionar todos los correos electrónicos para un dominio determinado y luego reenviarlos al destino real, sin que nadie se dé cuenta, a menos que algún sistema automatizado advierta a un administrador acerca de los registros mx modificados.

Puede falsificar fácilmente la dirección del remitente de un correo electrónico, lo que abre otras vías de ingeniería social o empujando a su víctima a acciones imprudentes porque creen que están actuando sobre algo que alguien les confió.

El correo electrónico no es seguro, punto. No veo cómo agregar otro nivel de direccionamiento indirecto empeora esto mucho más. Ya existe una gran cantidad de lugares de ataque contra el sistema de correo distribuido sin reenviar el correo electrónico ni siquiera ingresar la imagen. Siguiendo su argumento, nadie debería usar el correo electrónico, reenviado o no.

Sin embargo, sí, y en general, vemos el correo electrónico como una forma valiosa de comunicación. Además, el servicio de reenvío de correo electrónico puede mejorar la seguridad, ya que puede obtener un tipo de anonimato mínimo muy económico al registrar direcciones de reenvío desechables, cambiar la dirección de correo cuando su correo antiguo está inundado de correo no deseado, etc. una dirección temporal que protege su permanente).

Sí, hay ciertos factores de riesgo como los que ha notado al restablecer la cuenta de sus credenciales. Si desea reducir el alcance de la seguridad de su cuenta comprometida, debe migrar su cuenta de su antigua dirección de correo electrónico a su nueva dirección de correo electrónico. Por lo tanto, la antigua dirección de correo electrónico no tendría que tratar con información confidencial de la cuenta. Sin embargo, hacer esto también aumentaría el riesgo de su cuenta debido a tener todas sus cuentas en una sola cuenta de correo electrónico. Entonces, la pregunta es qué nivel dejas de preocuparte por la seguridad? Si alguien comprometió un sitio web en el que tenía una cuenta o un sitio web que hace que su dirección de correo electrónico sea visible al público? Y así sucesivamente.

El agente de reenvío aún tiene un buen propósito, como por ejemplo, digamos amigos o familiares o alguien que intenta contactarlo para que se muevan a la dirección de correo electrónico correcta.

El correo electrónico es un lugar vulnerable: si está comprometido, sus contraseñas se han eliminado (¡use 2FA!). Admito que creo que Google es más seguro que la mayoría de las compañías, por lo que al usar Pobox para reenviar allí, estoy haciendo que sea un poco más fácil atacarme. (Soy el autor de la publicación de los enlaces OP a.)

Pero tampoco estoy iniciando sesión en Pobox, y la mayoría de los ataques de correo electrónico son interactivos (en lugar de piratear la infraestructura subyacente del proveedor de correo electrónico). Engañarme para que haga clic en algo dentro de Pobox no va a suceder porque no es mi bandeja de entrada activa, y engañarme para iniciar sesión en un Pobox falso será más difícil porque no necesito hacer eso. Pobox usa 2FA, por lo que alguien tendría que encontrar un punto débil en la implementación de Pobox, o penetrar de otra manera en los sistemas de Pobox, para acceder de forma plausible a mi cuenta.

Entonces, el riesgo es distinto de cero, pero no creo que sea alto, y ciertamente no es como duplicar o cuadrar el riesgo de usar una sola bandeja de entrada. Puede elegir legítimamente no reenviar por motivos de seguridad, pero no creo que sea correcto decir que "nadie debe usar ningún tipo de reenvío de correo electrónico".