130 Milioni di Dati di Instagram sono in vendita nel Dark Web. Facciamo il punto

Un utente di un forum underground ha pubblicato un data leak di 130 milioni di dati di utenti Instagram, inclusi nomi, numeri di telefono e indirizzi email. La sicurezza informatica per le persone contenute all'interno di questa collection di dati potrebbe essere in pericolo.

Il sottobosco criminale, lo sappiamo, non dorme mai.

Qualche ora fa, il gruppo DarkLab di RHC, intercetta un post dell’utente BabayoErorSystem all’interno di “Citizen” (un noto forum underground che vende dati rubati), che pubblicizza qualcosa che molti preferirebbero ignorare. Si parla, (con orgoglio criminale) di “130 Milliond Data Base Istagram”, con tanto di typo o errore incluso nel prezzo del brivido.

Nonostante il titolo, il contenuto poi si ridimensiona inspiegabilmente a una condivisione di circa 5.2 milioni di record, con tanto di sample gratuito che serve a dimostrare che (purtroppo), non si tratta della solita bufala di quartiere.

Il threat actor sta pubblicizzando per vendere, un archivio che è un vero e proprio inventario della vita digitale dove parliamo di stringhe che includono username, numeri di telefono, indirizzi email, ID degli account.

Ancora più inquietante, l’indirizzo di residenza unito al nome reale della persona.

Non è quindi un banale furto di dati, ma si tratta di una mappatura della presenza fisica degli individui in questo set di dati. Nel sample (da noi visionato), ci sono nomi reali associati a studi fotografici e attività commerciali. Questo è un chiaro segno che il leak ha una portata ampia e indiscriminata.

BabayoErorSystem non ha specificato il prezzo nel post pubblico, una tecnica per attirare acquirenti e spostare la trattativa su canali privati. Si cerca quindi il miglior offerente oppure vendere pacchetti suddivisi per nazione, come spesso abbiamo visto su queste pagine.

La reputazione del venditore nel forum non è importante e ha un punteggio basso, ma la qualità del sample pubblicato ci fa comprendere che se si tratta di un fake, si potrebbe trattare di una aggregazione di informazioni provenienti da vecchi databreach.

C’è questa strana abitudine nel pensare che un data-leak sia solo una brutale lista noiosa di dati. Quando un archivio, finisce nelle mani sbagliate (e ci finisce quasi sempre nelle underground criminali), si attiva una reazione a catena che va ben oltre lo spam fastidioso.

Immaginate la potenza di un attacco quando il malintenzionato conosce il vostro nome, il vostro telefono o meglio ancora dove vivete. Non è più un’email di “pesca a strascico”, è una trappola sartoriale. Il fatto che siano coinvolti account business e professionali, rende questo data leakutile per attività di spionaggio industriale oppure per il furto di identità.

Spesso ci si interroga sull’autorità di figure come BabayoErorSystem, il quale potrebbe essere un “broker” che ha acquistato il database da chi ha effettivamente eseguito il web scraping, oppure potrebbe essere stato lui stesso ad aver sfruttato una vulnerabilità API di Instagram non ancora patchata.

Il punto non è quanto sia bravo, ma quanto siamo i sistemi siano vulnerabili alla diffusione di coordinate geografiche che aprono sempre scenari di rischio fisico che la cybersecurity spesso fatica a processare. Sapere dove si trova una persona è un’arma per lo stalking di alto livello.

Dobbiamo smetterla di credere alla favola che le piattaforme sono sicure, instagram, come ogni altro gigante, è un sistema che produce API a ritmi industriali e il controllo di questi strati di software sepsso non è dei migliori.

La domanda non è perché BabayoErorSystem abbia pubblicato questi dati, ma perché sia così maledettamente facile per i criminali farlo.

Ogni volta che accettiamo i termini di servizio chilometrici forniti dai produttori di social network di oltre oceano, stiamo firmando la nostra condanna alla reperibilità perpetua dei nostri dati all’interno dei forum underground.

La provocazione vera non è nel data leak, ma nella nostra convinzioni. Siamo pronti a vivere in un mondo dove la nostra posizione geografica vale meno di un centesimo di dollaro su un server oscuro?

Chiara Nardini

Esperta di Cyber Threat intelligence e di cybersecurity awareness, blogger per passione e ricercatrice di sicurezza informatica. Crede che si possa combattere il cybercrime solo conoscendo le minacce informatiche attraverso una costante attività di "lesson learned" e di divulgazione. Analista di punta per quello che concerne gli incidenti di sicurezza informatica del comparto Italia.

Aree di competenza: Cyber threat Intelligence, Incident Response, sicurezza nazionale, divulgazione