Il data breach ai danni di Ho.Mobile vi spaventa? Ho raggiunto l’autore dell’attacco ed ecco qualche consiglio per l’utenza
Ogni tanto, mi ricordo di gestire un sito web chiamato drcommodore.it, e mi ricordo anche di saper scrivere in italiano corretto, più o meno. E quando accadono fatti del “mio mondo“, preferisco far chiarezza ai meno avvezzi.
Facciamo innanzitutto un breve riassunto dei fatti di cui siamo a conoscenza:
Un gruppo di ethical hacker, poco ethical, ma molto hacker, è riuscito ad ottenere un dump del database di ho.mobile, contenente 2,5 milioni di utenze.
I dati a loro disposizione, per ogni singolo utente sono quelli anagrafici necessari per l’attivazione di una sim: Nome, Cognome, Residenza, Indirizzo E-Mail e poco altro.
Chiaramente non sono dati vendibili liberamente, o con cui ottenere un profitto su eBay, così li hanno messi in vendita sul dark web, dove per provare che i dati siano reali hanno pubblicato 10 utenze casuali, che per adesso potevano essere complici.
Ma abbiamo chiesto le informazioni di un account in mio possesso, e mi sono state fornite. Questo conferma ulteriormente che il leak sia vero.
Cos’è il dark web?
Immaginiamo internet come un oceano, e l’internet che un utente medio utilizza come la spiaggia sotto casa.
Il dark web rappresenta spiagge situate in isole remote, che solo con la giusta cartina geografica sono raggiungibili. Sono piene di pirati, dove se non ti vesti come loro, ti attaccheranno.
Perciò, tolte le metafore, se volete navigare nel dark web, munitevi di browser e connessioni anonime, come il buon vecchio Tor Browser, che per anonimizzare il traffico, passa attraverso N nodi, situati in diversi paesi… ma ricordatevi, che l’anonimato decade se il possessore di un nodo volesse fare un uso illegittimo del traffico che passa per esso.
Uno screen tratto dal forum http://cgqq6fool3cd5ydg.onion su cui è stato messo in vendita il database. (E’ SCONSIGLIATO L’ACCESSO SE NON SI E’ SOTTO RETE TOR)
Detto questo, torniamo a noi
La paranoia e la paura di essere rintracciati dell’utente medio è incontrollabile, tutti a consigliare di cambiare sim immediatamente per evitare il sim swap, ma quali sono i rischi reali?
Il Sim Swap è una tecnica molto banale che consiste nel disattivare la sim dell’utente in favore di una nuova sim con il suo numero, per effettuare recuperi di password o di credenziali attraverso il numero di telefono, per poi tentare di accedere ad una piattaforma come amazon, paypal o app bancarie. Ma, c’è un “ma” grande come una casa.
Andiamo in ordine:
- I sistemi che utilizzano OTP via SMS, sono pochi, pochissimi.
- Oltre all’OTP, servono comunque le credenziali solite, Username e Password.
- Ammesso che una piattaforma permetta il recupero totale delle credenziali attraverso il numero di telefono, ricevereste comunque una mail di notifica.
- Se un malintenzionato effettua sim swapping sul vostro numero, la vostra sim viene disattivata, perciò ve ne accorgereste subito (spero).
- E per non parlare della poca sanità mentale che si avrebbe, se si tentasse di accedere manualmente a caso a ogni piattaforma possibile, con 2.5 milioni di utenze.
Ma quindi, che ci fanno con sto dump?
In pratica, sperano di rivenderlo, e ci riusciranno. Perchè?
Perchè nel mondo del dark web, 2.5 milioni di utenze reali sono utili, per esempio, a creare account di piattaforme bancarie o di carte prepagate poco sicure, dove far veicolare soldi ottenuti in maniere poco lecite.
Per evitare questo problema, e molti altri, vi consiglio questo servizio , MisterCredit è un servizio di monitoring attività creditizie, ovvero:
Se a Honolulu una persona chiamata Tommaso Felici sta acquistando a nome mio un M-16, la mia banca lo sa, e mi avverte.
Ho contattato il team degli autori di questo attacco. Confermano tutto ciò che ho già espresso in questo articolo, e aggiungono che:
“il profitto non è molto rispetto ad altre attività illecite, come la rivendita di malware (…) al momento ci sono un sacco di persone che conosco che hanno accesso a panelli admin di iliad, wind, tim solo in Italia“.
Cosa Fare, dunque?
Il mio consiglio per un utente Ho. Mobile, è quello di mantenere la calma: controllare che su paypal/amazon/app bancaria non utilizzi il numero di telefono come unico sistema di recupero credenziali, e di attendere comunicazioni ufficiali.
Tutti quelli che stanno pubblicamente insultando Ho.Mobile, non sanno minimamente come vanno gestite queste cose.
Come si dice dalle mie parti: “Anche lu porchettaru mette bocca da lu farmacista!“
