Libero
SICUREZZA INFORMATICA

Quali dati Facebook e Twitter sono stati hackerati e messi online

Un ricercatore di sicurezza informatica statunitense ha scoperto un dataset con i dati personali di 1,2 miliardi di persone

hacker Fonte foto: Shutterstock

Hacker, ladri di identità, phisher e altri truffatori online per oltre un decennio si sono dedicati al furto dei dati e alla creazione di un mercato nero dove rivendere quanto sottratto. Dati sensibili, per lo più legati alle credenziali di accesso riutilizzati da “terzi” per prosciugare i conti in banca e le carte di credito.

Lo scorso ottobre, Vinny Troia, un ricercatore americano ha scoperchiato il vaso di Pandora quando, quasi per caso, ha scoperto una montagna di dati personali facilmente accessibili archiviati su di un server non protetto. Ben quattro terabyte di informazioni sensibili e personali, all’incirca 1,2 miliardi di file. Una raccolta di dati veramente impressionante ma che non include, come è normale aspettarsi, dati relativi alle carte di credito, ai conti online, o, nel caso degli Stati Uniti, ai numeri di previdenza sociale. No, Vinny Troia ha scoperto centinaia di milioni di profili di persone che contengono numeri di telefono fissi e cellulari, credenziali di accesso ai social network come Facebook, LinkedIn e Github, curriculum vitae estratti direttamente da LinkedIn. Parliamo di quasi 50 milioni di numeri di telefono e 622 milioni di indirizzi e-mail.

Dati rubati: il lavoro di Vinny Troia

Vinny Troia è rimasto sconcertato. Il ricercatore ha dichiarato di non essersi mai imbattuto in una simile mole di dati che vede milioni di profili social raccolti e integrati tra loro e legati direttamente a un singolo utente, il tutto racchiuso in unico database. Secondo il ricercatore, una raccolta dati di questo tipo è assai più pericolosa perché mette a rischio l’identità stessa di una persona, sia digitale che fisica. Supponiamo che un malintenzionato voglia spacciarsi online per un’altra persona: ha tutti i mezzi per farlo, dall’accesso ai profili social, alla mail personale, dal numero del telefono di casa a quello del cellulare.

La cosa più inquietante per il ricercatore è stato il luogo dove ha trovato il database incriminato. Il tutto era archiviato semplicemente in Google Cloud Services e l’indirizzo IP del server era facilmente rintracciabile online. Dopo aver denunciato il “ritrovamento”, Troia ha prontamente avvisato l’FBI che ha rimosso in tutta velocità il server stesso rifiutando però di rilasciare commenti su quanto accaduto.

Dati di origine sconosciuta

I dati scoperti dal ricercatore statunitense sono divisi in quattro diversi dataset. Tre sembrano provenire da People Data Labs, un broker di dati di San Francisco. People Data Labs vende legalmente dati personali, sul sito web dell’azienda la società di San Francisco dichiara di disporre dei dati di oltre 1,5 miliardi di persone. Troia ritiene improbabile che i server di People Data Labs siano stati violati, cosa confermata anche dal co-fondatore della società sentito direttamente dal ricercatore americano.

L’ultimo è etichettato con il nome “OXY” e ogni file al suo interno contiene un tag identico. Secondo Vinny Troia, l’etichetta “OXY” potrebbe fare riferimento ad un altro broker di dati: Oxydata con sede in Wyoming. Ma anche i vertici dell’azienda in questione hanno dichiarato di non aver subito alcuna violazione, non solo, la Oxydata ha sottolineato che i dati dell’azienda non utilizzano il tag “OXY”.