Violazione lascia esposti i dati di 80 milioni di famiglie negli USA

Il team di ricerca di vpnMentor ha scoperto un attacco informatico che colpisce 80 milioni di famiglie americane.

I noti hacktivisti Noam Rotem e Ran Locar hanno identificato un database non protetto che colpisce fino al 65% delle famiglie statunitensi.

Ospitato da un server cloud Microsoft, il database di 24 GB include il numero dei componenti familiari e il loro nome completo, stato civile, fascia di reddito, età e altro ancora.

Informazioni incluse nel database

Di seguito è riportata una schermata di una voce tipica di questo database:

Il database sembra contenere i dettagli delle famiglie piuttosto che quelli degli individui. Questi includono:

•  Indirizzi completi, inclusi indirizzi stradali, città, contee, stati e codici di avviamento postale.
•  Latitudine e longitudine esatte.
•  Nomi completi, inclusi primo nome, cognome, secondo nome
•  Età
•  Data di nascita

Alcune informazioni sono incluse ma codificate (a queste è attribuito quello che supponiamo essere un valore numerico assegnato internamente). Queste includono:

•  Titolo
•  Sesso
•  Stato civile
•  Reddito
•  Stato del proprietario dell’abitazione
•  Tipo di abitazione

L’unico vero indizio che questo database appartiene ad un qualche tipo di servizio è che «member_code» (codice del socio) e «score» (punteggio) appaiono in ogni voce.

Il pericolo di divulgare queste informazioni

Non è la prima volta che un enorme database viene violato. Tuttavia, riteniamo che sia la prima volta che una violazione di queste dimensioni includa nomi, indirizzi e redditi dei soggetti.

Questo database aperto costituisce una miniera d’oro per ladri d’identità e altri criminali. Ecco come:

Attacchi informatici

L’accesso al tuo nome completo può permettere agli hacker di risalire al tuo indirizzo e-mail. Molti usano nome.cognome@gmail.com come indirizzo e-mail. Sebbene sia una scelta sensata, ti rende facile da identificare.

Le truffe di phishing possono assumere molte forme e il virus di riscatto (ransomware) è una delle più pericolose. Normalmente, ciò accade quando link pericolosi sono incorporati nelle e-mail; aprirli infetta il tuo computer. L’unico modo per rimuovere i ransomware è pagare un «riscatto» - e, avendo accesso alle tue informazioni sul reddito, questi criminali sanno quanto possono chiederti.

Pericoli del mondo reale

Il tuo nome e la tua città sono sufficienti per eseguire una ricerca completa su Internet. Google mostrerà i link di qualsiasi contenuto con il tuo nome, inclusi: siti web aziendali, blog o siti web personali, profili di social quali Facebook, Instagram e Twitter, e i media locali in cui potresti apparire.

Supponiamo che è da un pò che non aggiorni le impostazioni di sicurezza del tuo profilo Facebook e che i tuoi post siano visibili a tutti, non solo agli amici. Tutto ciò che pubblichi è visibile su Internet, comprese le foto delle vacanze che hai caricato proprio questa mattina. Il geotag mostra che ti trovi a migliaia di chilometri da casa.

Dato che anche il tuo indirizzo completo è registrato nel database, il ladro non solo sa dove vivi, ma ora sa anche che sei lontano da casa, e quindi che la casa è probabilmente libera. Questi delinquenti possono anche accedere al tuo reddito, in modo da poter valutare approssimativamente il valore dei beni presenti nella tua casa. Sei appena diventato un bersaglio ideale per un attacco.

La situazione è sempre più critica: il database mostra anche la tua età. Questi criminali - sia online che offline - possono identificare i soggetti più vulnerabili, filtrarli in base al reddito e utilizzare le informazioni contenute nel database per aggredire e approfittarsi con facilità delle loro vittime telefonicamente, via e-mail o di persona.

Questo scenario è solo la punta dell'iceberg. Gli indirizzi possono facilmente condurre a numeri di telefono, rendendoti un facile bersaglio per le truffe di phishing. Le date di nascita e i codici postali sono risposte comuni alle domande di sicurezza. E longitudine e latitudine significano che la tua abitazione può essere localizzata e osservata.

Naturalmente, esistono modi per rimanere al sicuro online e nel mondo reale. Ad esempio, puoi proteggere la tua casa con allarmi e la tua connessione internet con una VPN di prima scelta. Questo ti aiuterà a proteggerti, ovunque tu sia.

Come abbiamo scoperto la perdita

Il team di ricerca sta attualmente intraprendendo un enorme progetto di web mapping. La scansione delle porte è usata per esaminare i blocchi IP noti. Questo rivela le brecce nei sistemi web, che vengono quindi esaminati per individuare eventuali debolezze e perdite di dati.

Di solito, i ricercatori hanno già un’idea dell’origine della perdita. Possono quindi esaminare il database per confermarne l’identità.

A questo punto, ci rivolgiamo al proprietario del database per segnalare la perdita e, ove possibile, avvertire i soggetti interessati. Questo aiuta a rendere internet più sicuro e protetto.

Nonostante abbiamo effettuato indagini online sul database, non lo abbiamo scaricato. I nostri ricercatori hanno ritenuto che scaricarlo sarebbe stata una violazione etica, in quanto in tal modo avrebbero acquisito illegalmente una serie di dati personali identificabili senza il consenso dei proprietari di tali informazioni.

Perché questa violazione di dati è diversa

Stavolta è diverso. Il database che il team ha scoperto riporta informazioni identificative di oltre 80 milioni di famiglie in tutti gli Stati Uniti. Dato che la maggior parte delle famiglie comprende più di un individuo, il database potrebbe avere un impatto diretto su centinaia di milioni di individui.

vpnMentor invita il pubblico a contribuire all’identificazione del database e alla rimozione della perdita.

A differenza delle perdite che abbiamo identificato in precedenza, stavolta non abbiamo idea dell’identità del proprietario di questo database. Essendo ospitato su un server cloud, significa che l'indirizzo IP ad esso associato non è necessariamente connesso al suo proprietario.

I dati comprendono voci uniformi per più di 80 milioni di famiglie, il che rende quasi impossibile restringere il campo d’azione. L’unico indizio che abbiamo trovato consisteva nell’età dei soggetti: anche se abbiamo consultato migliaia di voci, non abbiamo trovato nessuno sotto i 40 anni.

È interessante notare che è attribuito un valore al reddito dei soggetti (tuttavia, non sappiamo se si tratta di un codice per un sistema di classificazione interna, una fascia di tassazione o un importo effettivo).

Questo ci ha portato a sospettare che il database sia di proprietà di una compagnia assicurativa, sanitaria o ipotecaria. Tuttavia, mancano le informazioni che ci si potrebbe aspettare di trovare in un database di proprietà di agenti o banche. Ad esempio, non ci sono numeri di polizza o di conto, i codici fiscali o tipi di pagamento.

Aiutaci a identificare questo database

Vogliamo contattare i proprietari di questo database e far loro sapere che i loro registri di dati stanno mettendo in pericolo milioni di famiglie.

Aiutaci a risolvere l’enigma:

Quale servizio viene fruito da 80 milioni di famiglie negli Stati Uniti - ma solo negli Stati Uniti - e solo da individui con più di 40 anni? Quale servizio potrebbe avere accesso allo status del proprietario di casa e al tipo di abitazione, ma non al codice fiscale? E quale servizio registra che sei sposato, ma non quanti figli hai?

Se pensi di poterci aiutare a identificare questo database o a risalire al suo proprietario, contattaci su info@vpnmentor.com. Le 80 milioni di famiglie qui elencate meritano privacy e abbiamo bisogno del tuo aiuto per proteggerle.

Magari ti interessano i nostri report precedenti:

Recentemente abbiamo svelato che Gearbest ha subito un’enorme violazione di dati, e che più del 25% delle aziende quotate da Fortune 500 hanno subito attacchi informatici. Ti consigliamo inoltre di leggere il nostro report sulle app false utilizzate in Iran per monitorare gli utenti, il report sulle perdite VPN e il report sulle statistiche di privacy dei dati.

dTi invitiamo a condividere questo report su Facebook o Twitter in modo tale che altri esperti di sicurezza possano aiutarci a identificare e sanare questa perdita.