Foto di Glen Carrie.

Una massiccia violazione della sicurezza ha reso pubbliche oltre 184 milioni di credenziali di accesso, tra cui email, nomi utente e password, in un database non protetto scoperto dal ricercatore di sicurezza Jeremiah Fowler.

La scoperta, avvenuta all'inizio di maggio, ha rivelato un database da 47,42 GByte privo di crittografia o protezione tramite password, accessibile pubblicamente a chiunque ne conoscesse l'esistenza. Fowler ha contattato l'hosting provider del database, World Host Group, che ha bloccato l'accesso pubblico poco dopo aver ricevuto la notizia, per prevenire ulteriori diffusioni.

Il database conteneva credenziali per una vasta gamma di servizi, tra cui Google, PayPal, Netflix, Facebook, Instagram, Snapchat, Microsoft, Discord, Roblox e persino portali bancari, sanitari e governativi di numerosi Paesi. Un'analisi di un campione di 10.000 record ha rivelato 479 account Facebook, 475 account Google, 240 account Instagram, 227 account Roblox, 209 account Discord e oltre 100 account ciascuno per Microsoft, Netflix e PayPal.

Fowler ha verificato l'autenticità dei dati contattando alcuni degli indirizzi email presenti nel database, ricevendo conferme che le password elencate erano effettivamente valide.

Sullo stesso tema:

Android cambia il ripristino di fabbrica per scoraggiare i ladri

Oracle ammette: sì, ci hanno bucato il cloud

Attacco hacker a ePrice. In vendita i dati di 7 milioni di utenti

Saccheggio informatico pronto per essere monetizzato

L'esame tecnico ha rivelato che i dati mostravano segni di essere stati raccolti tramite malware infostealer, un tipo di software malevolo progettato per rubare credenziali da browser, email e applicazioni. Questi malware, operando spesso come Malware-as-a-Service, utilizzano tecniche come keylogging, hijacking di sessioni browser e credential dumping per raccogliere informazioni sensibili.

La portata della violazione è notevole e supera il precedente leak di 70 milioni di credenziali nel 2024, collocandosi tra i maggiori della storia recente.

Nonostante il database sia ora offline, non è chiaro per quanto tempo sia rimasto accessibile né se sia stato scaricato da malintenzionati. Per buona misura, gli esperti raccomandano - se si è utenti dei servizi coinvolti - di cambiare immediatamente le password, di utilizzare password uniche per ogni servizio e di abilitare l'autenticazione a due fattori (2FA).

Per approfondire:

Licenziato, si vendica sabotando i computer dell'azienda

Windows Recall cattura anche i dati sensibili, nonostante i filtri

Che cosa mettere nel testamento? Nomi utente e password

Bucato l'Internet Archive, sottratti i dati di 31 milioni di utenti

Sullo stesso tema:

10 miliardi di password rubate e pubblicate in chiaro

Malware di fabbrica nei mini PC venduti su Amazon

iNsecurity: una storia di phishing, altruismo e buona volontà

"I dati sono andati" dissero alla vecchietta...