Nuovo Data Breach: colpito anche il fondatore di HIBP

100 milioni!
No non è l’ennesimo numero della manovra finanzaria, ma il numero di righe di un db Elasticsearch contenente informazioni personali; un file di 90 gb che tocca oltre 20 mln di persone e che è stato oggetto del data breach “db8151dd”.
Username, Password e informazioni riservate finite online pubblicamente.


Non si tratta però del solito furto estorsivo, infatti non vi sono rivendicazioni e non si conosce la provenienza di queste informazioni.
Da appassionato di Sicurezza e Privacy seguo ormai da anni i principali esponenti di questo ramo IT, uno di loro è Troy Hunt, tra l’altro fondatore e gestore del sito Have I been Pwned (HIBP) di cui vi parlerò a breve.
E’ stato proprio lui a scovare il data breach e, cosa ancora più strabiliante, nonostante la sua innegabile esperienza nel settore, Hunt si è ritrovato anche le sue informazioni riservate (tra cui il numero di telefono) pubblicate alla mercè della rete.
Non solo, accanto a queste informazioni, sostiene poi di aver trovato anche i dati di persone con cui aveva interagito in passato, righe relative ad appuntamenti e promemoria, come se giungessero da sue agende personali. E’ molto probabile che questi dati provengano da un CRM, ma la ricerca dell’origine si è conclusa con un nulla di fatto.

L’Ethical Hacker ha poi caricato tutti gli indirizzi mail reperibili nel file all’interno del suo sito Have I been Pwned.

Ma di cosa si tratta?

Have I been Pwned è un vero e proprio motore di ricerca delle “violazioni” informatiche e funziona in maniera molto semplice:


accedendo potete inserire il vostro indirizzo mail nella casella di ricerca e il sistema andrà a leggere all’interno delle proprie risorse, che vengono caricate ogni volta che vengono scoperte delle “breach”, ed è in grado di rispondervi se il vostro indirizzo risulta coinvolto in una di queste violazioni, oltre a darvi tutta una serie di informazioni accessorie tipo quale sito ha subito il furto, che genere di dati ha perso, in che data.

E’ un controllo postumo, ma utile soprattutto per quegli utenti che usano sempre la stessa password, se vengo a conoscenza di un data breach che mi riguarda posso correre ai ripari andando a modificare le password degli account interessati, per esempio.

Il sito inoltre permette gratuitamente di attivare delle notifiche automatiche, ovvero una mail che ci avverte se vengono inseriti record riguardanti i nostri account.

Un lavoro davvero utile che vi consiglio di tenere in considerazione per corredare il vostro “security model”.

fonti: Have I been Pwned! | TroyHunt.com

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *