Online 1 miliardo e 400 milioni di email e password. E l’hacker chiede donazioni in bitcoin

L’hanno chiamata Breach Compilation: raccoglie 252 leak precedenti ed è aggiornata alla fine di novembre 2017. La password usata per posta e social da 9 milioni di account è sempre la stessa: “password”.

UN MILIARDO e 400 milioni di nomi, email e password in chiaro. Tutto in un unico database messo a disposizione in un forum del deep web. È senza dubbio il più grande leak di dati personali della storia di Internet. A “scoprirlo” per primi gli spagnoli di 4iq, una società di analisi del rischio cibernetico operante anche in California. Il leak era menzionato su Reddit da un utente col nome di tomasvanagas che ne forniva il link (torrent) per recuperarlo, indicando poi la possibilità di fare una donazione in bitcoin a chiunque lo trovasse utile.

Il database, ancora in circolazione, sarebbe la somma di altri leak come Antipublic ed Exploit.in che Repubblica.it aveva raccontato in anteprima qualche mese fa, ma è aggiornato a fine novembre 2017 con milioni di nuovi indirizzi e password in chiaro. Il database contiene moltissimi indirizzi della Rai, di Repubblica, della Sapienza di Roma, della Difesa, di banche, ministeri e pubbliche amministrazioni con le password, sempre le stesse, per accedere a social e posta elettronica. Molti di questi indirizzi sono vecchi e le organizzazioni colpite come la Rai hanno da tempo avvertito i propri dipendenti di resettare email e password. Ma a rendere prezioso questo leak cumulativo non è tanto la mole dei dati, quanto la loro organizzazione in 1900 diversi file e la presenza nel pacchetto di uno script di ricerca in grado di restituire in pochi secondi i dati associati ad una email o username.

La password più usata è sempre la stessa: 123456
Dall’analisi sul dump compiuta dalla Cyber Division di Var Group, Yarix, nota società di sicurezza italiana, emerge, grazie anche alla collaborazione di alcuni utenti coinvolti, la presenza nel leak di password vecchie o mai impiegate dagli utenti, utili però a creare uno storico delle password impiegate da cui trarre indicazioni preziose per la realizzazione di attacchi di tipo password, basati cioè sugli schemi di generazione della password che gli utenti usano ripetere. Essendo i dati associati alla stessa username provenienti da vecchi datbreach, di Yahoo, Linkedin, Twitter, Yourporn, Myspace, eccetera, è chiaro che il fenomeno del riuso della stessa password per servizi web diversi è assai frequente. E in effetti a leggere il database si nota che 9 milioni di account usano la stessa password “123456”, oltre un milione “password” e trecentomila le parole “monkey e “dragon”. Inoltre il 14% di queste accoppiate username/passwords non erano mai state decifrate nei precedenti leaks e questo potrebbe significare che “il collezionista” che le ha raccolte ha trovato il modo per metterle in chiaro.

Dal Crime as a service al crime for sharing
A questo punto la domanda è: chi ha interesse a diffondere tutti questi dati? Si potrebbe pensare a una questione economica: è la prima volta che chi mette in giro un leak di questo tipo chiede una “donazione” da destinare al suo portafoglio bitcoin. Ma secondo gli esperti il motivo potrebbe essere un altro. Ci dice Pierluigi Paganini, Chief Technology Officer di CSE Cybsec: “La quasi totalità dei dati è già reperibile online e quindi il loro valore è pressocché nullo per la vendita nell’ecosistema criminale. Il “collezionista” di tali dati potrebbe essere interessato ad interferire con la vendita di concorrenti o rovinare la reputazione a servizi che offrono l’accesso a pagamento dei dati.” Una sorta di concorrenza sleale, insomma. Ma c’è un’ipotesi peggiore. Nell’underground ci sono gruppi di esperti e criminali informatici uniti da una fede o una ideologia comune che collaborano e condividono quello che apprendono gli uni dagli altri. “In alcuni ecosistemi specifici – dice l’esperto – non è raro trovare attori che condividono informazioni e strumenti a titolo gratuito. Questo accade in collettività in cui altre motivazioni fanno da collante, ad esempio nell’ecosistema criminale medio orientale-africano la componente religiosa agevola questi fenomeni di condivisione”. E continua: “In altri casi ciò accade quando uno specifico attore cerca rapidamente di acquisire notorietà ed aumentare la propria reputazione in specifiche comunità”.

Ma l’ipotesi del depistaggio vale sempre: continuando ad arricchire il database, diventa sempre più difficile seguire le tracce di chi ha realizzato le violazioni, i databreach, aiutandolo a mimetizzarsi nel web profondo

ARTURO DI CORINTO

Fonte: http://bit.ly/2z6jsE5

Archivio

Al via la “Call for professor” d’intesa con le università

L’Associazione Italian Digital Revolution – AIDR, in collaborazione con alcune università italiane, si è candidata come “Digital Knowledge Provider” nell’ambito di seminari, corsi di formazione e master universitari.L’obiettivo della “Call For Professor”, in linea con la missione associativa, è quello di porre i riflettori sull’innovazione, attraverso la diffusione della cultura digitale mettendo a disposizione delle Università italiane contenuti e docenti da inserire all’interno dei propri percorsi formativi.

Privacy, tavola rotonda Aidr su controlli e sanzioni Garante  

Milano, 22 gennaio – Trascorso il periodo transitorio che tutti gli Stati europei hanno osservato per consentire alle imprese di adeguarsi al nuovo sistema legato al GDPR, entrato in vigore da maggio 2018, sono iniziate le verifiche e i controlli nonché l’irrogazione delle sanzioni amministrative. Da una prima analisi è possibile constatare come il Garante privacy italiano stia tenendo un approccio ragionevole e ponderato in merito alle sanzioni per il mancato rispetto del GDPR, e ciò, in modo conforme a quanto dispone il regolamento stesso, secondo cui le sanzioni devono essere “effettive, proporzionate e dissuasive”.

VIDEO E PHOTO GALLERY

AIDR WEB TV

ITALIAN DIGITAL REVOLUTION

EVENTI ED INIZIATIVE

ITALIAN DIGITAL REVOLUTION

COME ASSOCIARSI

Cerchi il lavoro giusto per te? Scoprilo su IO LAVORO

IO LAVORO è un sistema informativo che utilizza la professione e i dati raccolti dai siti web di numerose istituzioni (Istat, Isfol, Miur, etc) o forniti come open data, per dare un quadro informativo completo sul mercato del lavoro e per favorire l’incontro domanda offerta.

AIDR NEWSLETTER

AIDR
Iscriviti alla nostra newsletter per essere sempre aggiornato sulle iniziative testo di prova e prova di testo

AIDR NOTIZIE DAL WEB

TUTTE LE NOTIZIE

Notizie
24/02/2020
La propagazione del contagio da coronavirus, al centro delle cronache mondiali degli ultimi giorni, sta proiettando l’attenzione collettiva (di esperti, Istituzioni, cittadini) sulle modalità con cui prevenire il pericolo della progressiva diffusione dell’epidemia, specie in ragione del suo elevatissimo grado di trasmissibilità.
Notizie
22/02/2020
I motori di ricerca sono il punto d’ingresso principale al web. A una pagina, nella gran parte dei casi, si accede a partire dalla ricerca di una o più parole chiave. E per questo, quando IL motore di ricerca non funziona, è come se “si fosse rotto l’internet” (vedi la bella striscia a tema di zerocalcare).
Notizie
21/02/2020
Roma, 21 Febbraio - Un accordo di collaborazione è stato siglato a Roma tra le associazioni Italian Digital Revolution e Knosso, associazione nata per diffondere la cultura della sicurezza e della legalità intesa come conoscenza e presidio di protezione dei beni tangibili di una organizzazione pubblica o privata.

AIDR
AZIENDE E COLLABORAZIONI

AIDR SOCIAL

Seguici sui social per restare in contatto con noi,
ricevere aggiornamenti e inviarci suggerimenti, segnalazioni e commenti!