Così vengono violati e venduti i profili social (e non solo) degli italiani

Di tutte le violazioni informatiche emerse nei mesi scorsi, almeno una avrebbe dovuto suscitare più attenzione in Italia: quella che ha riguardato utenti della piattaforma di dating Badoo, piuttosto frequentata nel nostro Paese. A inizio giugno infatti il sito LeakedSource – che raccoglie e categorizza i dati sottratti a servizi e social online, dopo averli raccattati in giro per la Rete, tra siti delle darknet e forum russi – sosteneva che Badoo.com fosse stato hackerato, e di aver quindi ottenuto una copia dei dati trafugati, aggiungendola al proprio motore di ricerca. Badoo ha negato alla testata americana Motherboard di essere stata direttamente violata. Nondimeno, i dati commerciati nell’underground della Rete, quale che sia la loro provenienza, sembrano davvero riguardare utenti iscritti al sito di dating. E contengono molti account italiani.

Il caso Badoo

I dati raccolti da LeakedSource su Badoo assommano a 127 milioni di profili. Ognuno di questi può contenere informazioni come email, nome utente, password, genere, nome e cognome, data di nascita e altri elementi. Guardando i domini delle caselle di posta usate dagli iscritti si intuisce che molti profili sono italiani: oltre 5milioni su @hotmail.it, oltre 2 milioni su @libero.it, quasi 2 milioni su @live.it, 1,1 milione su @yahoo.it, 771mila su @alice.it, 491mila su @tiscali.it e 379mila su @virgilio.it, per un totale di oltre 12 milioni di caselle di posta. Del resto, nell’elenco delle password più usate dai profili Badoo finiti online, ne appaiono molte che alludono chiaramente a utenti tricolori: Juventus, Antonio, Napoli, amoremio, ciaociao e via dicendo.

La Stampa ha potuto verificare che alcuni di questi profili italiani rivelano dati come: nome e cognome, nome utente, password in chiaro, data di nascita. Secondo LeakedSource, le password erano salvate e cifrate con metodi «non all’altezza degli attuali standard» (tecnicamente: in MD5 senza salting), per cui molte sarebbero state violate facilmente.

Non riusare la password

Se si è dunque iscritti a Badoo, quanto meno in via precauzionale, è consigliabile cambiare la propria password e verificare che la stessa non sia stata riutilizzata su altri profili e social. In tal caso, meglio correre a cambiarla dappertutto. Già, perché il riuso delle password su più siti e servizi è alla base di gran parte delle violazioni di profili individuali e del furto di informazioni. E, sempre stando alla cronaca recente, tale pratica è la prima indiziata per una serie di violazioni avvenute ai danni di utenti TeamViewer, il noto software di supporto e accesso remoto. Nonché per il breve sequestro del profilo Twitter di Mark Zuckerberg da parte degli hacker di OurMineTime. Il boss di Facebook avrebbe commesso due leggerezze: usare la stessa password di LinkedIn per altri profili e sceglierne una a dir poco imbarazzante (“dadada”).

Il commercio dei profili

Questa primavera è stata densa di quelli che in gergo si chiamano dump di siti importanti, cioè copie di database degli iscritti a un servizio prelevate non si sa bene quando o come, e improvvisamente affiorate dalle profondità della Rete. Dove ci sono persone specializzate nel commercio all’ingrosso e al dettaglio di profili utente. E ce n’è per tutti i gusti. Ad esempio, La Stampa ha verificato che su Alphabay, uno dei più importanti mercati neri del Deep Web, un venditore, AccountShop, ha messo recentemente in vendita account da oltre 200 siti. Tra questi spiccano anche username e password di utenti Trenitalia, venduti a 8 dollari l’uno (ben più cari della media). I profili Airbnb sono invece venduti a 4,30 dollari l’uno. Quelli EasyJet a 2,90 dollari. Groupon tra 1 e 1,20 dollari. LinkedIn a 2,90 dollari. Zalando a 5 dollari. Ma ce ne sono molti altri.

La Stampa non ha potuto verificare se gli account in vendita siano autentici e funzionanti, rileva però che la reputazione del “negoziante” e i feeback dei suoi clienti sono abbastanza buoni. «Sono un rivenditore, conosco un sito che vende questi account a prezzi più bassi, li compro lì e li rivendo qua», mi scrive AccountShop attraverso il sistema di messaggistica di AlphaBay. «Vendo circa 500 account al mese. In media guadagno tra i 30 e i 90 dollari al giorno, ma a volte ho delle vendite in massa e faccio di più. Dei profili Trenitalia non so nulla di specifico».

Un altro venditore del sito, Bestworks, con 456 recensioni positive, mette in vendita un dump massivo di oltre 10mila account internazionali hackerati, che vanno da Amazon a Dropbox e Instagram. E questo solo per restare nell’ambito di un solo mercato nero. Su un mercato minore,T•chka, che ha per altro un codice di condotta curioso (i codici di condotta non sono inusuali nei mercati del Deep Web, ce ne aveva uno anche Silk Road, ma questo è molto definito: il sito non accetta droghe sintetiche poco note, armi, veleni ed esplosivi, pornografia, contenuti relativi ad estremismo, nazionalismo ed antisemitismo o altre forme di discriminazione) un hacker ha messo in vendita il database di un popolare sito francese di modelle, anche se i dati sembrano essere limitati a nomi ed email.

I profili LinkedIn

Lo scorso maggio su un altro sito, The Real Deal, circolava un hacker di nome Peace che commerciava 117 milioni di profili LinkedIn, vale a dire ne vendeva email e password. La fuga di dati era stata confermata anche dal già citato LeakedSource, che aggiungeva al suo motore di ricerca ben 167 milioni di profili del social network lavorativo (solo una parte conteneva anche le password).

Da dove arrivavano questi dati? Da un attacco informatico a Linkedin avvenuto nel 2012, quindi già noto. Tuttavia inizialmente erano stati rilasciati online solo una minima parte dei profili violati (6,5 milioni) mentre i restanti sembrano essere rimasti dormienti da qualche parte per poi sbucare fuori di recente. Così ci si è resi conto che quella violazione del 2012 era molto più seria. LinkedIn ha mandato una mail ai suoi utenti, specificando di aver invalidato la password se l’account non aveva reimpostato la password dal 2012. Se non l’avete ricevuta o comunque siete nel dubbio di non averla più cambiata dal 2012, fate in modo di cambiarla. Idem se usate la stessa per altri siti.

Sono stato hackerato?

Può essere anche utile controllare che la propria email non sia presente in uno dei passati dump di profili social, altrimenti il proprio account potrebbe essere stato violato (e la sua password in possesso di un numero indefinito di persone). Come verificarlo? Andando sul sito Have I Been Pwned? e digitando la propria mail. Il sito è gestito nel tempo libero dal ricercatore di sicurezza informatica Troy Hunt (che lavora per Microsoft).

Il mercato dei server

A essere commerciati non sono comunque solo i dati degli utenti. Il sito XDedic è un forum che vende l’accesso a server hackerati in tutto il mondo. Un server in Europa costa appena 6 dollari, riferisce l’azienda di cybersicurezza Kaspersky, e può essere utilizzato per sferrare attacchi informatici. Attualmente sul sito sono presenti 70mila server messi in vendita da oltre 400 utenti. (fonte)