I 10 peggiori data breach del 2018
Il 2018 è stato un anno particolarmente allarmante a livello di sicurezza informatica, a conferma di un trend che dal 2011 al 2017 ha registrato una crescita del +240%.
Gli attacchi informatici con furti di dati riservati hanno riguardato società sia pubbliche che private e hanno coinvolto compagnie aeree, catene alberghiere e multinazionali dei più diversi settori, social network, App, ma anche piattaforme per l’acquisto di biglietti e per la ricostruzione degli alberi genealogici, database governativi.
Quali misure possono adottare gli utenti per proteggere i propri dati personali? E le aziende?
I data breach più eclatanti del 2018 per numero di utenti coinvolti: ecco la top 10
MARRIOTT STARWOOD HOTELS
Utenti coinvolti: 500 milioni.
Tipologia di dati violati: indirizzi, numeri di telefono, numeri di passaporto, numeri di carte di pagamento e relativa data di scadenza.
Cosa è successo: gli hacker hanno avuto accesso al database delle prenotazioni dal 2014 al 2018.
MYFITNESSPAL
Utenti coinvolti: 150 milioni.
Tipologia di dati violati: nomi utente, indirizzi email, password.
Cosa è successo: l’app è stata hackerata a febbraio 2018, ma a quanto dichiarato non sono stati sottratti dati relativi alle carte di credito, raccolti separatamente.
QUORA
Utenti coinvolti: 100 milioni.
Tipologia di dati violati: nomi, indirizzi email, password crittografate, domande e risposte degli utenti.
Cosa è successo: dati compromessi a fine novembre attraverso un applicativo terzo.
MYHERITAGE
Utenti coinvolti: 92 milioni.
Tipologia di dati violati: indirizzi email e password crittografate.
Cosa è successo: un database contenente dati sensibili è stato scoperto su un server privato esterno all’azienda.
CAMBRIDGE ANALYTICA
Utenti coinvolti: 87 milioni
Tipologia di dati violati: informazioni relative a interessi e preferenze degli utenti, registrati nei profili Facebook.
Cosa è successo: uno dei casi più eclatanti del 2018 riguarda This Is Your Digital Life, app per la previsione della personalità che trasmetteva impropriamente informazioni sugli utenti a parti terze, tra cui l’azienda di analisi dati. Cambridge Analytica. Nel 2015 l’app è stata installata da 270.000 utenti Facebook, ma sfruttando le regole di condivisione dati delle reti di amicizie Facebook ha raccolto informazioni su 87 milioni di utenti.
GOOGLE+
Utenti coinvolti: 52,5 milioni.
Tipologia di dati violati: informazioni private contenute negli account G+ quali nomi, datori di lavoro e job title, indirizzi email, data di nascita.
Cosa è successo: due pericolose violazioni di dati sensibili hanno portato Google ad annunciare la chiusura del social network.
Utenti coinvolti: 50 milioni.
Tipologia di dati violati: dati altamente sensibili quali geolocalizzazione, contatti, stato sentimentale, ricerche recenti, device utilizzati.
Cosa è successo: gli hacker hanno sfruttato una vulnerabilità nel codice di Facebook per rubare i token di accesso agli account.
CHEGG
Utenti coinvolti: 40 milioni.
Tipologia di dati violati: nomi utente, indirizzi e-mail, indirizzi di spedizione e password crittografate.
Cosa è successo: un applicativo non autorizzato è entrato in un database aziendale che ospitava i dati degli utenti di chegg.com, società americana specializzata in servizi educativi e affitto di libri di testo.
TICKETFLY
Utenti coinvolti: 27 milioni.
Tipologia di dati violati: nomi, indirizzi, email e numeri di telefono.
Cosa è successo: un attacco hacker ha compromesso il database ‘backstage’ della piattaforma di acquisto di biglietti per eventi e concerti.
SACRAMENTO BEE
Utenti coinvolti: 19,5 milioni.
Tipologia di dati violati: dati di registrazione degli elettori della California e informazioni di contatto archiviate per gli abbonati.
Cosa è successo: un gruppo di cyber criminali ha rubato due database del quotidiano californiano; uno conteneva i dati di registrazione degli elettori della California, l’altro informazioni di contatto degli abbonati al quotidiano. In seguito è stato chiesto un riscatto, ma il giornale ha preferito rifiutare e cancellare i database.
L'elevato valore dei vostri dati personali
Oltre ai casi più eclatanti per numero di utenti coinvolti, nel 2018 ci sono stati alcuni attacchi alla sicurezza informatica particolarmente significativi per la sensibilità dei dati compromessi.
In primis, il data breach che ha colpito la compagnia aerea Cathay Pacific - scoperto a marzo ma rivelato soltanto a ottobre 2018, violando le normative europee imposte dal GDPR - ha permesso il furto di 860.000 numeri di passaporto, 240.000 numeri di carte di identità di residenti a Hong Kong, oltre a centinaia di numeri di carte di credito.
Ma anche associazioni ed enti governativi sono stati bersagliati dagli hacker: dal database di SingHealth, il più grande gruppo sanitario di Singapore, sono stati sottratti nomi, indirizzi e medicinali prescritti a 1,5 milioni di pazienti (fra i quali il Primo Ministro).
Furti di identità, phishing e frodi: ecco cosa si rischia
Molti dei dati personali contenuti nei documenti di identità, le informazioni di contatto e i dettagli sugli itinerari di viaggio possono essere utilizzati per condurre attacchi contro altri account dei passeggeri, poiché si tratta di informazioni che spesso permettono di bypassare le misure di sicurezza.
Inoltre, l’accesso a questi dati mette gli utenti a rischio per phishing, frodi e, peggio ancora, furti di identità.
Non solo: anche i dati di pagamento delle carte di credito, combinati con altre informazioni sottratte da altri data breach o dai social network, permettono di costruire profili completi, utilizzabili per una miriade di attività criminali, sia online che nel mondo fisico.
Come potete proteggere i vostri dati?
Se vi viene comunicata la possibilità che i vostri dati siano stati coinvolti in un data breach, dovreste innanzitutto cambiare la password dell’account interessato e di tutti gli altri account ‘sensibili’, e fare attenzione ad eventuali email inusuali, oltre a seguire le indicazioni fornite dall’azienda che ha messo a rischio i vostri dati.
Inoltre, è consigliabile:
- utilizzare sempre password uniche e definite ‘forti’
- riflettere prima di postare qualsiasi informazione sui social network
- utilizzare carte di credito per gli acquisti online, poiché godono solitamente di una tutela elevata contro le frodi
- fornire soltanto le informazioni necessarie quando si crea un account su siti web, social network o app.
Cosa potrebbero fare le aziende per garantire maggiore sicurezza ai propri utenti?
Per fermare le minacce prima che queste si materializzino, vanno adottate tecnologie e servizi più avanzati, specialmente da parte delle aziende che trattano dati altamente sensibili come le compagnie aeree.
Per rendere meno sfruttabili i dati già sottratti, invece, è possibile adottare tecnologie multistrato come la tecnologia biometrica passiva.
Fonti:
Computer Weekly Cathay Pacific
