Quasi 773 milioni di indirizzi e-mail e oltre 21 milioni di password in chiaro. Un vastissimo campionario di credenziali personali frutto di differenti cyber-bottini e valido per violare ulteriori siti e profili personali. Sono questi i numeri del maggiore archivio di dati trafugati mai scoperto e messo online: è stato battezzato Collection #1.
A identificarlo è stato da Troy Hunt, ricercatore e inventore del sito ‘Have I Been Pwned?’, che serve a capire se si è stati ‘bucati’ dagli hacker. La lista, spiega il ricercatore, nasce dall’unione di elenchi minori ed è stata resa disponibile da sconosciuti tramite il sito di file-sharing Mega. I dati contenuti nel database – oltre 87 GigaByte con più di 12.000 file – provengono da diverse violazioni condotte negli ultimi anni. Solo per fare un esempio nel 2018, secondo una recente indagine di Ermes Cyber Security, i dieci maggiori cyber-furti di dati hanno portato ad oltre un miliardo di utenze violate. Con rischi per gli utenti e danni economici per le aziende.
Per Accenture, che ha condotto un’analisi in diversi paesi, nei prossimi cinque anni potranno ammontare a «5.200 miliardi di dollari i costi addizionali e i mancati ricavi delle aziende dovuti ai cyber-attacchi». La ‘master list’ scovata da Troy Hunt ha numeri importanti. I dati grezzi parlano di circa 2,7 miliardi di indirizzi mail e password, fra cui un miliardo di e-mail e relativi password combinati. Ma il ricercatore l’ha ripulita dai doppioni, dai file inutilizzabili e dalle password scadute per arrivare, dunque, ai 773 milioni di indirizzi e-mail unici e a oltre 21 milioni di password in chiaro.
Facendo una comparazione fra le email già raccolte dal suo sito e quelle appena scoperte, Hunt sostiene che «ci sono 140 milioni di email mai caricate prima» nel suo database; lo stesso vale per la metà delle password, 10 milioni circa di chiavi d’accesso «nuove». Molti domini elencati nella maxi-lista finiscono con ‘.com’ e sono legati a siti con materiali porno, social network e portafogli bitcoin.
«Sembra una raccolta completamente casuale di siti, fatta esclusivamente per massimizzare il numero di credenziali accessibili agli hacker. Non c’è uno schema, solo la ricerca di massima esposizione», ha spiegato Try Hunt a Wired. I dati, in pratica, facilitano la vita agli hacker, offrendo un enorme campionario di credenziali da utilizzare per nuove violazioni, nella speranza che gli utenti non le abbiano mai cambiate. Secondo Alex Holden, esperto di sicurezza di Hold Security, i dati della maxi-lista sono stati postati in siti e forum ‘underground’ già nell’ottobre 2018 e sono solo una parte di un archivio di password messo in vendita da un anonimo, tale Sanixer.
Contattato via Telegram dal sito KrebsOnSecurity, Sanixer ha spiegato che l’attuale prezzo di Collection #1 si aggira intorno ai 45 dollari e ha confermato che l’archivio è il frutto di «un numero enorme di siti compromessi» e che non è proprio la sua offerta «più fresca». A questo punto c’è da aspettarsi, in un prossimo futuro, una Collection #2 e #3.