Gli oltre sei milioni di account LinkedIn resi pubblici nel 2012 erano soltanto la punta dell'iceberg: in realtà, l'attacco di quattro anni fa aveva fruttato un bottino ben più ricco.

In totale, allora i pirati informatici erano riusciti a sottrarre i dati di 167 milioni di account. Oggi le informazioni di 117 milioni di essi sono state messe in vendita nel dark web.

A vendere i dati è un hacker che si fa chiamare Peace e che ha confermato la provenienza dei dati: risalgono proprio alla violazione del 2012. Per l'intero pacchetto, che comprende indirizzi email e hash delle password, chiede 5 Bitcoin (ossia poco meno di 2.000 euro al cambio attuale).

Consigliamo la lettura di:

Il fondatore di HaveIBeenPwned vittima di phishing

Twitter, in vendita i dati di 400 milioni di utenti

Cerca un sicario nel dark web per sfregiare la fidanzata

Yahoo, violati 200 milioni di account

Stando a LeakedSource, buona parte delle password sono già state decifrate.

Il problema è che LinkedIn a quel tempo generava gli hash con l'algoritmo SHA1 senza sale: in altre parole, proteggeva le password dei propri utenti in maniera piuttosto debole come prova il fatto che, secondo le affermazioni di LeakedSource, il 90% delle password è stato violato in appena 72 ore.

Per verificare se ci si trova tra gli utenti colpiti si può utilizzare il prezioso servizio Have I Been Pwned?: basta inserire un nome utente o un indirizzo email e il sito segnala se l'account relativo sia mai stato compromesso.

Spunti di approfondimento:

Dropbox ti obbliga a cambiare la password

Un giro sul dark web

Lo spione spiato: Hacking Team si fa fregare 400 giga di dati

LinkedIn, il bug SSL non è stato ancora corretto

In ogni caso, cambiare la propria password di LinkedIn (soprattutto se non lo si è fatto nel 2012) e non utilizzare due volte la medesima password è a questo punto una buona mossa per proteggersi.

Dato che molti tendono a riutilizzare la stessa password su più siti e a non cambiarla praticamente mai, i dati rubati a LinkedIn sono probabilmente ancora validi in buona parte, anche se dal furto è passato diverso tempo: quindi possiamo immaginare che Peace riuscirà senza troppa fatica a trovare qualche compratore.

LinkedIn, dal canto proprio, ha confermato che i 6,5 milioni di password resi pubblici quattro anni fa non erano che una parte del bottino, e che in realtà l'azienda non sa esattamente quanti dati siano stati sottratti.

In queste ore sta contattando i 117 milioni di utenti interessati dalla "vendita" di credenziali per evitare che qualcuno possa fare danni sfruttando i dati sottratti.