Nuovo data breach: le informazioni contenute nel database permetterebbero l’identificazione degli utenti
Sono passate solo poche settimane dalla scoperta dell’archivio online #Collection1, ed ecco spuntare un nuovo database contenente informazioni relative ad almeno 800 milioni di account di posta elettronica, inclusi dati personali e sensibili.
Scovato il 25 febbraio dai ricercatori di Security Discovery, il database da 150 GB non era protetto né da password né da crittografia, quindi facilmente accessibile a chiunque.
Al suo interno, le informazioni raccolte in quattro macrocategorie (“mailEmailDatabase”, “Emailrecords”, “emailWithPhone” e “businessLeads”) includono in alcuni casi anche dati che permetterebbero l’identificazione dei proprietari degli account, quali nomi, numeri di telefono, indirizzi di residenza, genere, data di nascita, datore di lavoro e job title, indirizzo IP.
L’ipotesi che potesse trattarsi di dati già presenti nel database Collection 1 è stata scartata a seguito di un controllo incrociato con HaveIBeenPwned.
Il servizio di validazione di indirizzi email Verifications.io è responsabile del data leak
I ricercatori di Security Discovery hanno identificato e prontamente avvisato la società responsabile del leak: si tratta di Verifications.io, gestore di un servizio di validazione delle email che permette alle aziende di caricare liste contenenti indirizzi di posta elettronica e sapere quali di questi risultano ancora attivi.
La verifica avviene attraverso una pratica definibile come spam: ad ogni indirizzo contenuto nelle liste fornite viene inviato un messaggio email, un semplice ‘hello’, verificando così se questo giunge a destinazione o se viene rimbalzato.
Avvisata del problema, Verifications.io - ora offline - ne ha confermato l’esistenza e ha fatto sapere di aver subito messo in sicurezza il database.
Rischi e misure di sicurezza: come tutelarsi in caso di messaggi sospetti
Il database in questione è stato messo in sicurezza e il sito Verifications.io è attualmente offline, quindi non accessibile ai malintenzionati dopo che la news sul data breach ha iniziato a circolare; tuttavia, non sappiamo per quanto tempo sia rimasto pubblicamente accessibile prima e in quanti ne abbiano approfittato.
La buona notizia è che questo archivio digitale non includeva password; nonostante ciò, conteneva informazioni che lo rendevano una possibile miniera d’oro per hackers e cybercriminali.
Il 10 marzo, HaveIBeenPwned ha informato via email milioni di vittime di quanto rilevato. Anche in questo caso potete verificare sul sito HaveIBeenPwned se il vostro account risulta compromesso.
Se così fosse, o in caso riceviate email sospette, ecco cosa potete fare:
- Modificate la password in questione in tutti i siti in cui l’avete utilizzata
- Variate la password della vostra casella di posta elettronica con una certa frequenza
- Evitate di utilizzare la stessa password su più siti
- Se sapete di essere fra le “vittime” di un data breach, avvisate la vostra banca per evitare truffe legate a furti di identità.
