I dati di 5,5 milioni di clienti InfoCert sono davvero disponibili online?

Su un noto forum accessibile sia tramite il Web pubblico che attraverso un URL dedicato .onion (Dark Web), sono apparsi quelli che hanno tutta l’aria di essere 24 record tratti da un database utilizzato da InfoCert per l’erogazione dei suoi servizi. Chi ha pubblicato le informazioni, sostiene di essere in possesso di un database contenente 5,5 milioni di record corrispondenti ad altrettanti italiani e che le 24 righe rappresentano un semplice “assaggio” di ciò che è nelle sue mani.

InfoCert è una delle principali aziende italiane attive nel settore della digitalizzazione e della gestione documentale. È una Certification Authority (CA) accreditata, ovvero un ente autorizzato a rilasciare certificati digitali e servizi fiduciari qualificati. Fa parte del gruppo Tinexta, uno dei leader europei nei servizi di digital trust, cybersecurity e software per il settore finanziario.

I dati condivisi sembrano essere stati estrapolati da un sistema di ticketing, ossia da uno strumento adoperato per fornire assistenza ai clienti InfoCert. Tra le 24 linee di esempio, infatti, si trovano numeri di telefono e indirizzi email dei clienti, oltre ad altri dati personali. Accanto ad essi, spiccano anche i suggerimenti forniti dal supporto tecnico in risposta a specifiche esigenze manifestate dagli utenti.

InfoCert punta il dito contro un fornitore terzo

Pur non parlando ancora di data breach, InfoCert ha nel frattempo diramato un comunicato ufficiale in cui spiega di aver effettivamente rilevato “la pubblicazione non autorizzata di dati personali relativi a clienti censiti nei sistemi di un fornitore terzo“. E aggiunge: “tale pubblicazione è frutto di un’attività illecita in danno di tale fornitore, che non ha però compromesso l’integrità dei sistemi di InfoCert. Nel confermare che sono in corso tutti gli opportuni accertamenti sul tema, anche al fine di eseguire le necessarie denunce e notifiche alle Autorità competenti, siamo fin da ora in grado di informare che nessuna credenziale di accesso ai servizi InfoCert e/o password di accesso agli stessi è stata compromessa in tale attacco“.

Dopo la presa posizione del 28 dicembre, il 30 dicembre InfoCert ribadisce che la sicurezza e il funzionamento dei servizi SPID, firma digitale e PEC, oltre che di tutti gli altri servizi, “non sono mai state compromesse dall’illecita sottrazione di dati che ha interessato i sistemi di un fornitore esterno, che gestisce una piattaforma di assistenza clienti utilizzata dal nostro Customer Care“.

Prosegue la società: “abbiamo rilevato tempestivamente che sono stati resi disponibili su una piattaforma dedicata alla compravendita di dati acquisiti abusivamente, alcune informazioni relative a nostri clienti. In collaborazione con il nostro fornitore, abbiamo subito posto in essere tutte le misure tecniche per verificare l’evento e tutelare i nostri utenti, contenendo l’attività illecita. Sono ancora in corso analisi tecniche, che stiamo svolgendo con il massimo grado di approfondimento e insieme al nostro fornitore; contemporaneamente, stiamo procedendo con le opportune denunce e notifiche alle Autorità competenti“.

Dati personali in vendita sul mercato nero

InfoCert spiega che nei prossimi giorni fornirà maggiori informazioni su quanto accaduto. Per adesso, però, rimane il post dell’hacker protagonista dell’iniziativa che mette platealmente in vendita, sul mercato nero, i dati di 5,5 milioni di italiani per la somma di 1.500 dollari.

L’offerta di vendita è peraltro visibile pubblicamente: se è vero che il noto forum con i dati sottratti non è accessibile se non attivando un account utente, le stesse pagine risultano perfettamente navigabili usando Tor Browser e utilizzando l’indirizzo .onion del sito. Premendo CTRL+U nel browser, i dati di esempio appaiono – in bella vista – all’interno della pagina Web utilizzata dall’hacker.

Stando a quanto sostenuto dall’autore della pubblicazione, le informazioni non riguardano soltanto gli utenti del servizio SPID erogato da InfoCert ma anche chi si serve di PEC, firma digitale, fatturazione elettronica, conservazione digitale e così via. In generale, potrebbero essere tutti coloro che hanno fatto uso, in qualche circostanza, del servizio di assistenza tecnica e commerciale InfoCert.

Inoltre, dei 5,5 milioni di record complessivamente esfiltrati, 1,1 milioni di numeri di telefono e 2,5 milioni di indirizzi email sarebbero unici (nessun duplicato).

Attenzione alle conseguenze!

A questo punto, a valle del presunto data breach, è bene che gli utenti alzino la guardia perché alcuni dei loro dati personali potrebbero presto entrare nella disponibilità di criminali informatici  senza scrupoli, specializzati nel porre in essere attacchi phishing.

Potrebbero essere destinatari di email, SMS e altre comunicazioni “fasulle”, appositamente progettate per condurre attacchi mirati e indurre gli utenti a condividere dati di accesso, estremi di pagamento e altre informazioni riservate.

Credit immagine in apertura: iStock.com – seamartini