Instagram cerca di bloccare il leak con dati di milioni di utenti

Set 06, 2017 Marco Schiaffino Attacchi, Gestione dati, Hacking, In evidenza, Intrusione, Leaks, News, RSS, Vulnerabilità 0

Non solo i VIP: i pirati sostengono di avere sottratto i dati di 6 milioni di utenti Instagram e li stanno vendendo sul Web.

Qualcuno avrà anche sorriso all’idea che l’account dell’attrice Selena Gomez fosse stato hackerato per postare online le foto “senza veli” di Justin Bieber. Ora, però, sembra che quello fosse solo l’aperitivo di qualcosa di (molto) più serio.

Come ha riportato il Daily Beast, infatti, i cyber-criminali avrebbero sfruttato il bug che ha permesso agli ignoti hacker di violare l’account dell’attrice statunitense per rastrellare milioni di account.

Stando a quanto si legge sempre sul Daily Beast, che ha avuto contatti con i pirati autori dell’intrusione ma che non ha potuto visionare il materiale in loro possesso, i cyber-criminali avrebbero rubato le informazioni secondo una logica precisa: sarebbero partiti dagli account più seguiti per poi “scendere”. Totale: 6 milioni di account.

Il tutto sarebbe poi stato ordinato in un database con una funzione di ricerca che i pirati hanno battezzato Doxagram (Dox è il termine che in slang indica l’insieme dei contatti di una persona – ndr) e messo online sotto forma di sistema a pagamento.

Ora è chiuso, ma per un po’ questa è stata l’homepage di Doxagram.com.

Per 10 dollari chiunque potrebbe ottenere le informazioni personali (indirizzo email e numero di telefono cellulare) di uno qualsiasi degli utenti “sequestrati”.

Dopo la correzione del bug a opera degli sviluppatori di Instagram, la partita si è spostata sul Web. Il social network di proprietà di Facebook starebbe infatti facendo di tutto per impedire che l’archivio sia accessibile al pubblico, bloccando gli account dei cyber-criminali sui social network (Facebook e Twitter) e registrando qualsiasi dominio che contenga la parola “Doxagram” per impedire ai pirati di avere troppa visibilità.

La strategia, però, non sembra funzionare particolarmente bene. Prima di scrivere questo articolo, per esempio, ci sono bastati 10 secondi per trovare una serie di post su bitcointalk.org dai quali siamo riusciti ad arrivare al sito doxagram2.com, che sembrerebbe essere gestito proprio dai pirati che hanno saccheggiato i database di Instagram.

Impossibile sapere se contenga davvero i dati di 6 milioni di utenti Instagram, ma il sito promette di fornire le informazioni dietro pagamento.

Stando a quanto si legge nel post, ce ne sarebbe anche una versione sul Dark Web, che ovviamente i volenterosi tecnici di Instagram non possono bloccare ricorrendo agli stessi metodi che hanno usato per social network e domini “normali”.

Ma cosa rischiano gli utenti che sono rimasti vittima del leak? Nel caso dei VIP le conseguenze riguardano essenzialmente la sfera della privacy, visto che saranno presumibilmente costretti a cambiare numero di telefono e indirizzo email.

Per tutti gli altri, magari non così celebri, rimane il rischio che qualcuno sfrutti le informazioni per portare degli attacchi di phishing nei loro confronti, un po’ come è successo a Selena Gomez.

Conoscere indirizzo email e numero di telefono di una persona, infatti, è più che sufficiente per mettere in piedi un raggiro terribilmente credibile, anche perché gli SMS su smartphone sono spesso usati come strumento di verifica nei sistemi di autenticazione a due fattori.

È bene ricordarsi, poi, che l’eventuale truffa potrebbe riguardare anche un servizio diverso da Instagram. Immaginiamo per esempio che ci arrivi un’email con la richiesta di verifica del nostro account Google.

Normalmente saremmo diffidenti, ma nel messaggio c’è scritto che ci verrà inviato un codice via SMS che dovremo inserire nel sito. Behh, se conoscono il nostro numero di telefono devono essere davvero quelli di Google. No? Beh, forse no…

Condividi l'articolo