Italiani Nel Mirino: 464.508 Record Compromessi nei Forum underground in 2 giorni

Negli ultimi giorni, il panorama della cybersecurity italiana è stato scosso da una serie di massicci data leak che hanno esposto centinaia di migliaia di informazioni sensibili di cittadini e aziende italiane. Secondo quanto riportato dalla piattaforma Recorded Future, un totale di 464.508 record compromessi è stato individuato su diversi forum del dark web, mettendo in evidenza un’escalation preoccupante delle minacce informatiche rivolte al nostro Paese.

L’origine dei dati trafugati e le piattaforme coinvolte

Le informazioni compromesse sono emerse da forum specializzati e mercati clandestini del dark web, tra cui BreachForums2, NoHide Forum, CrdPro ed Exploit Forum, noti per essere punti di incontro per hacker e cybercriminali che vendono e scambiano dati sottratti.

Secondo i report di Recorded Future, nei giorni 1 e 2 marzo 2025 sono stati pubblicati i seguenti dataset:

• 300.000 record su BreachForums2 (1 marzo)
• 140.000 record su NoHide Forum (2 marzo)
• 15.198 record su CrdPro (1 marzo)
• 9.310 record su CrdPro (2 marzo)

L’elemento più inquietante è il tasso di validità dell’85% associato a questi dati, che suggerisce che la maggior parte delle informazioni rubate è ancora utilizzabile per attività illecite, come il furto d’identità, frodi finanziarie e attacchi informatici mirati.

Quali dati sono stati esposti?

L’analisi dei database compromessi rivela una vasta gamma di informazioni personali e finanziarie, suddivise in diverse categorie di dati sensibili:

• Credential Leaks: Sono state trovate enormi raccolte di email e password associate a servizi di posta elettronica, social network e piattaforme aziendali. Particolarmente preoccupante è la presenza di un dataset denominato “Yahoo EmailPass HQ Combolist”, che suggerisce una compromissione mirata degli account Yahoo italiani.
• Combolists: I cosiddetti “combolists” sono raccolte di credenziali email-password di alta qualità, spesso utilizzate per attacchi di credential stuffing, ovvero tentativi automatici di accesso ad account online sfruttando combinazioni precedentemente esposte in altre violazioni.
• Fullz Information: Si tratta di dati personali completi, tra cui nomi, indirizzi, numeri di telefono, email, numeri di carte di credito e altre informazioni finanziarie. La vendita di questi dati su forum del dark web indica un forte interesse da parte dei cybercriminali per il furto d’identità e le frodi economiche.
• Proxy e SOCKS5 italiani: In alcuni marketplace underground sono apparsi elenchi di IP italiani compromessi, venduti come proxy per attività di anonimizzazione e attacchi informatici che simulano traffico proveniente dall’Italia. Questi strumenti vengono spesso utilizzati per bypassare controlli antifrode o per lanciare attacchi informatici da una posizione apparentemente legittima.
• Yahoo Email Credentials: Un altro dato rilevante è l’esistenza di elenchi specifici di credenziali appartenenti a utenti Yahoo italiani, segno che il provider è stato particolarmente preso di mira in questa ondata di violazioni.

La diversità e l’ampiezza delle informazioni esposte dimostrano come l’ecosistema criminale del dark web sia sempre più specializzato nella raccolta e monetizzazione dei dati personali.

Le implicazioni per la cybersecurity italiana

Questi eventi sottolineano come l’Italia sia diventata un obiettivo privilegiato per gli attacchi informatici e il commercio illegale di dati. L’attuale situazione evidenzia alcune criticità fondamentali:

• Scarsa consapevolezza sulla sicurezza digitale: Il numero elevato di credenziali compromesse suggerisce che molti utenti continuano a utilizzare password deboli e ripetute su più servizi, senza adottare meccanismi di protezione avanzati come l’autenticazione a due fattori (2FA).
• Aumento degli attacchi di credential stuffing: La disponibilità di combolists aggiornate consente ai cybercriminali di testare automaticamente credenziali su vari servizi online, aumentando il rischio di accessi non autorizzati e furti di dati aziendali e personali.
• Espansione del mercato nero dei proxy italiani: La vendita di proxy e SOCKS5 con IP italiani suggerisce un forte interesse nel mascherare attività fraudolente simulando connessioni da indirizzi riconosciuti come affidabili dalle infrastrutture di sicurezza.

Quale sarà il prossimo passo?

Se questa tendenza dovesse continuare, l’Italia potrebbe affrontare una crescente ondata di attacchi informatici mirati, con implicazioni sia per i cittadini che per le aziende. Alcuni possibili sviluppi includono:

• Attacchi di phishing altamente personalizzati: Con così tante informazioni personali disponibili, i criminali potrebbero orchestrare campagne di phishing più credibili e difficili da riconoscere.
• Frode finanziaria e furto d’identità: I dataset contenenti dati finanziari possono essere utilizzati per prelievi fraudolenti, acquisti online non autorizzati o schemi di social engineering per accedere a conti bancari.
• Compromissione di infrastrutture aziendali: La presenza di credenziali aziendali nei database esposti potrebbe facilitare attacchi ransomware o intrusioni mirate nei sistemi informatici di imprese italiane.

Come proteggersi?

Alla luce di questi eventi, è essenziale adottare una serie di misure per ridurre l’impatto delle violazioni e prevenire future compromissioni:

• Attivare l’autenticazione a due fattori (2FA) su tutti i servizi critici, impedendo accessi non autorizzati anche in caso di compromissione delle password.
• Monitorare il dark web attraverso servizi specializzati per individuare in tempo reale la presenza delle proprie credenziali in eventuali data leak.
• Cambiare regolarmente le password e utilizzare password manager per generare credenziali complesse e uniche per ogni servizio.
• Eseguire reset periodici delle credenziali aziendali e adottare soluzioni di sicurezza avanzate per proteggere gli asset aziendali.
• Sensibilizzare dipendenti e cittadini sull’importanza della cybersecurity e delle buone pratiche di sicurezza digitale.

La recente ondata di data leak è un chiaro segnale di allarme per l’Italia: la sicurezza digitale deve diventare una priorità per tutti, dalle aziende ai singoli utenti. La protezione delle informazioni personali e aziendali non può più essere sottovalutata. Solo attraverso un’azione congiunta di formazione, prevenzione e tecnologie avanzate si potrà limitare l’impatto di queste minacce e proteggere il futuro digitale del nostro Paese.

Continueremo a monitorare la situazione e a fornire aggiornamenti su Red Hot Cyber per mantenere alta l’attenzione su queste gravi minacce emergenti.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Sandro Sana

Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Aree di competenza: Cyber Threat Intelligence, NIS2, Governance & Compliance della Sicurezza, CSIRT & Crisis Management, Ricerca, Divulgazione e Cultura Cyber

Visita il sito web dell'autore