Chaos Computer Club rileva 6,4 milioni di record in oltre 50 data leaks.

Michele Pinassi : 23 Febbraio 2022 10:49

Autore: Michele Pinassi
Data Pubblicazione: 23/02/2021

“Nelle ultime settimane, i ricercatori sulla sicurezza del Chaos Computer Club (CCC) hanno segnalato più di cinquanta data leaks”

inizia il post pubblicato sul sito web del prestigioso club di hacker tedesco “Sono state colpite istituzioni statali e società di diverse aree di attività […] Complessivamente, i ricercatori hanno avuto accesso a oltre 6,4 milioni di record personali. Sono stati colpiti clienti, passeggeri, richiedenti, pazienti, assicurati e utenti dei social network. Anche i terabyte di dati dei log e codice sorgente trovati impallidivano rispetto alla quantità di dati personali.“

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

L’articolo, in tedesco (tradotto dal sottoscritto grazie all’aiuto di un traduttore automatico), prosegue descrivendo le banali tecniche che hanno consentito ai ricercatori di accedere a questi dati, non adeguatamente protetti:

• (circa la metà dei casi) repository Git non protetti, con le credenziali e informazioni di accesso in chiaro;
• (un quarto dei casi) istanze Elasticsearch in cloud, esposte in Rete senza protezione;
• (il restante) interfacce di amministrazione non protette (es. Symfony Profilers);

In alcuni casi, anche dati sensibili come chiavi private e “token di accesso” per i servizi cloud sono stati conservati in file di configurazione aperti, accessibili da qualsiasi browser web.

I ricercatori hanno prontamente segnalato agli amministratori dei siti vulnerabili i problemi di sicurezza scoperti, nell’ottica della responsible disclosure: a quanto riferiscono, tre quarti dei responsabili hanno ringraziato e risolto il problema. Altre aziende hanno offerto una ricompensa e un 10% ha risolto la vulnerabilità segnalata senza dare alcun feedback alla segnalazione.

Nessuno di loro, come sottolineato nell’articolo, è ricorso alle autorità, denunciando gli attacchi: un segnale importante che dimostra l’importanza di rivedere molte normative nazionali in merito agli attacchi informatici, riconoscendo e normando pratiche come “bug bounty” e “responsible disclosure“, tutelando i ricercatori “white hat” e il loro contributo alla sicurezza dei dati e delle infrastrutture telematiche.

A fronte di attacchi informatici disastrosi (in particolare quelli che ottengono risalto grazie alla stampa), una delle prime domande è sempre: “ma come avranno fatto?“. Lo stiamo vedendo anche in questi ultimi anni, soprattutto per quanto riguarda gli attacchi ransomware che stanno colpendo decine di enti e aziende anche italiane.

Spesso la risposta a questa domanda è semplice quanto banale, poiché la complessità dei sistemi informatici contemporanei richiede una cura costante e maniacale degli stessi. E non sempre ci sono competenze, fondi e personale adeguato al rispetto delle esigenze minime di sicurezza per i sistemi ICT.

Ancora oggi molti manager fanno l’errore di ritenere la cybersecurity una questione esclusivamente tecnica, risolvibile magari con l’acquisto di qualche costoso firewall o XDR. Niente di più sbagliato, poiché la sicurezza informatica è un settore che richiede sia aspetti organizzativi che procedurali che tecnici, e nessuno di questi è “meno importante” degli altri.

Azioni come quella portata avanti dai ricercatori del CCC dimostrano, ancora una volta, la necessità d’investire maggiormente in cybersecurity: care Aziende, care Istituzioni, non sempre avrete la fortuna di ricevere una mail da parte di un ricercatore di sicurezza che vi avvisa di una vulnerabilità sui nostri sistemi. Molto più frequentemente, riceverete la visita di qualcuno che, in gran silenzio e senza farsi notare, avrà interesse a rubare i vostri dati, per venderli, e poi usare i vostri sistemi per le sue attività non sempre legali. Quanto vale, per voi, questo rischio?

Michele Pinassi
Nato e cresciuto a Siena, è Responsabile della Cybersecurity dell’Università di Siena. Lavora nel campo ICT da oltre 20 anni, usando esclusivamente software libero. Da sempre attento alle tematiche sulla privacy e sui diritti civili digitali, attraverso il suo blog nato nel lontano 2000, è ancora attivamente impegnato nel sensibilizzare i cittadini su queste tematiche.

Lista degli articoli