Online 1 miliardo e 400 milioni di email e password. E l’hacker chiede donazioni in bitcoin
L’hanno chiamata Breach Compilation: raccoglie 252 leak precedenti ed è aggiornata alla fine di novembre 2017. La password usata per posta e social da 9 milioni di account è sempre la stessa: “password”
di ARTURO DI CORINTO per La Repubblica del 12 Dicembre 2017
UN MILIARDO e 400 milioni di nomi, email e password in chiaro. Tutto in un unico database messo a disposizione in un forum del deep web. È senza dubbio il più grande leak di dati personali della storia di Internet. A “scoprirlo” per primi gli spagnoli di 4iq, una società di analisi del rischio cibernetico operante anche in California. Il leak era menzionato su Reddit da un utente col nome di tomasvanagas che ne forniva il link (torrent) per recuperarlo, indicando poi la possibilità di fare una donazione in bitcoin a chiunque lo trovasse utile.
Il database, ancora in circolazione, sarebbe la somma di altri leak come Antipublic ed Exploit.in che Repubblica.it aveva raccontato in anteprima qualche mese fa, ma è aggiornato a fine novembre 2017 con milioni di nuovi indirizzi e password in chiaro. Il database contiene moltissimi indirizzi della Rai, di Repubblica, della Sapienza di Roma, della Difesa, di banche, ministeri e pubbliche amministrazioni con le password, sempre le stesse, per accedere a social e posta elettronica. Molti di questi indirizzi sono vecchi e le organizzazioni colpite come la Rai hanno da tempo avvertito i propri dipendenti di resettare email e password. Ma a rendere prezioso questo leak cumulativo non è tanto la mole dei dati, quanto la loro organizzazione in 1900 diversi file e la presenza nel pacchetto di uno script di ricerca in grado di restituire in pochi secondi i dati associati ad una email o username.
La password più usata è sempre la stessa: 123456
Dall’analisi sul dump compiuta dalla Cyber Division di Var Group, Yarix, nota società di sicurezza italiana, emerge, grazie anche alla collaborazione di alcuni utenti coinvolti, la presenza nel leak di password vecchie o mai impiegate dagli utenti, utili però a creare uno storico delle password impiegate da cui trarre indicazioni preziose per la realizzazione di attacchi di tipo password, basati cioè sugli schemi di generazione della password che gli utenti usano ripetere. Essendo i dati associati alla stessa username provenienti da vecchi datbreach, di Yahoo, Linkedin, Twitter, Yourporn, Myspace, eccetera, è chiaro che il fenomeno del riuso della stessa password per servizi web diversi è assai frequente. E in effetti a leggere il database si nota che 9 milioni di account usano la stessa password “123456”, oltre un milione “password” e trecentomila le parole “monkey e “dragon”. Inoltre il 14% di queste accoppiate username/passwords non erano mai state decifrate nei precedenti leaks e questo potrebbe significare che “il collezionista” che le ha raccolte ha trovato il modo per metterle in chiaro.
Dal Crime as a service al crime for sharing
A questo punto la domanda è: chi ha interesse a diffondere tutti questi dati? Si potrebbe pensare a una questione economica: è la prima volta che chi mette in giro un leak di questo tipo chiede una “donazione” da destinare al suo portafoglio bitcoin. Ma secondo gli esperti il motivo potrebbe essere un altro. Ci dice Pierluigi Paganini, Chief Technology Officer di CSE Cybsec: “La quasi totalità dei dati è già reperibile online e quindi il loro valore è pressocché nullo per la vendita nell’ecosistema criminale. Il “collezionista” di tali dati potrebbe essere interessato ad interferire con la vendita di concorrenti o rovinare la reputazione a servizi che offrono l’accesso a pagamento dei dati.” Una sorta di concorrenza sleale, insomma. Ma c’è un’ipotesi peggiore. Nell’underground ci sono gruppi di esperti e criminali informatici uniti da una fede o una ideologia comune che collaborano e condividono quello che apprendono gli uni dagli altri. “In alcuni ecosistemi specifici – dice l’esperto – non è raro trovare attori che condividono informazioni e strumenti a titolo gratuito. Questo accade in collettività in cui altre motivazioni fanno da collante, ad esempio nell’ecosistema criminale medio orientale-africano la componente religiosa agevola questi fenomeni di condivisione”. E continua: “In altri casi ciò accade quando uno specifico attore cerca rapidamente di acquisire notorietà ed aumentare la propria reputazione in specifiche comunità”.
Ma l’ipotesi del depistaggio vale sempre: continuando ad arricchire il database, diventa sempre più difficile seguire le tracce di chi ha realizzato le violazioni, i databreach, aiutandolo a mimetizzarsi nel web profondo.
