Anche i migliori possono commettere errori. Lo dimostra quanto successo a Troy Hunt: l'esperto di sicurezza informatica fondatore del noto servizio HaveIBeenPwned è caduto vittima di un attacco di phishing.

L'incidente ha visto un hacker compromettere l'account Mailchimpdi Hunt, la piattaforma che utilizza per gestire la mailing list del suo blog personale.

Hunt ha ammesso che la sua stanchezza, dovuta al jet lag, ha giocato un ruolo cruciale nel successo dell'attacco.

Tutto è nato da una email di phishing che simulava una comunicazione ufficiale di Mailchimp e ha ingannato Hunt con un messaggio che segnalava una presunta lamentela per spam, minacciando di sospendere i privilegi di invio della sua newsletter.

Articoli raccomandati:

Tutti gli home banking sono a rischio, se usi Facebook

Furto dati Facebook, le cose da sapere

Facebook, trafugati i dati di oltre mezzo miliardo di utenti

Zoom, mezzo milione di password in vendita

Il messaggio era ben costruito: dal tono serio, ma non eccessivamente allarmistico; grazie a ciò, ha generato nell'esperto un senso di urgenza sufficiente a spingerlo a cliccare su un link fraudolento.

Hunt ha descritto il processo come «molto ben orchestrato». Egli ha notato che il login fasullo al clone della pagina di accessi a Mailchimp cui rimandava l'email non è andato a buon fine, dandogli un primo segnale di qualcosa di anomalo; ma a quel punto l'hacker aveva già esportato la lista tramite un'operazione probabilmente automatizzata.

L'attacco non ha avuto conseguenze sul sito HaveIBeenPwned ma ha comunque scosso Hunt, che si è detto «enormemente frustrato» per la propria distrazione.

Proposte di lettura:

Pubblicata la ''master list'' degli hacker

The Firefox Monitor ti svela se i tuoi dati sono stati hackerati

La lista dei PIN più usati

Ecco perché si raccomanda di usare password differenti

Quanto accaduto ha avuto però anche una conseguenza positiva e ha evidenziato un problema con l'applicazione Outlook per iOS. L'app ha mostrato il nome del mittente come MailChimp Account Services senza mostrare il dominio reale di provenienza (hr@group-f.be): un dettaglio che, se fosse stato visualizzato, avrebbe potuto rivelare subito la frode.

Dei 16.000 indirizzi rubati, oltre 7.000 appartenevano a ex-sottoscrittori. Hunt ha dichiarato di voler indagare se la conservazione di questi dati sia dovuta a un errore di configurazione da parte sua o a una politica di Mailchimp.

L'episodio sottolinea come il vero punto di forza dei criminali informatici stia nelle debolezze umane, indipendentemente dal livello di competenza dell'utente preso di mira.

Consigliamo la lettura di:

Epic fail: 30 milioni di dati personali riservati messi online

Disqus violato, rubati i dati di 17,5 milioni di utenti

Badoo, allerta per possibile violazione in massa degli account

Compromessi 642 milioni di account Myspace, Tumblr e Fling

Hunt, dal canto proprio, ha scelto di rendere pubblico l'accaduto per sensibilizzare sull'efficacia delle tecniche di social engineering e sottolineare come quanto successo a lui metta in luce la necessità di una vigilanza costante.

Articoli suggeriti:

Hack di LinkedIn, 117 milioni di email e password in vendita

250 milioni di account di posta violati? Niente panico

Come prendere il controllo di una Nissan Leaf via Internet

Perché i giocattoli digitali mandano ai loro fabbricanti le foto dei bambin...