Un gruppo di ricercatori per la sicurezza informatica ha individuato un database non protetto contenente decine di milioni di numeri di previdenza sociale americani (Social Security numbers), indirizzi e-mail e password. A fare la scoperta è stata l’azienda UpGuard, che ha portato alla luce una raccolta di dati allarmante per le sue dimensioni e per la varietà delle sue origini.

I numeri sono effettivamente impressionanti: si parla infatti di circa 3 miliardi di indirizzi email abbinati a password, e di quasi 2,7 miliardi di record contenenti codici di previdenza sociale.

Tuttavia, data l’alta probabilità di duplicati, il numero di identità uniche realmente esposte si stima nell’ordine delle decine o centinaia di milioni di unità. Per avere un’idea della reale portata del problema, UpGuard ha contattato un campione di persone presenti nel database. E la verifica ha rilevato che circa un quarto dei numeri previdenziali risulta corretto e attivo.

Segui TuttoAndroid su Google Discover

Un database costruito pezzo per pezzo

Il database non sembra essere il prodotto di un singolo attacco informatico, ma piuttosto di una raccolta progressiva di dati rubati nel corso di circa dieci anni. Parte del materiale potrebbe provenire da una massiccia fuga di dati avvenuta nel 2024, che all’epoca fu descritta come in grado, potenzialmente, di colpire l’intera popolazione adulta di Stati Uniti, Regno Unito e Canada.

Altra parte dei dati appare sensibilmente più vecchia, tanto che per stimarne l’età i ricercatori hanno adottato un metodo insolito quanto efficace: analizzare il tenore delle password. La presenza massiccia di riferimenti culturali tipici di un’epoca precisa (band e artisti come One Direction, Fall Out Boy e Taylor Swift) ha permesso di collocare buona parte di quel materiale intorno al 2015.

I dati sono vecchi ma continuano a fare paura

Verrebbe spontaneo minimizzare una scoperta del genere: se i dati risalgono a dieci anni fa, che pericolo possono ancora rappresentare? Greg Pollock, direttore della ricerca di UpGuard, spiega perché questo ragionamento è sbagliato e pericoloso.

Il primo motivo è ovvio: alcune informazioni non cambiano mai. Un numero di previdenza sociale rimane lo stesso per tutta la vita, indipendentemente da quando è stato sottratto. Il secondo motivo è, se possibile, ancora più preoccupante: l’analisi di UpGuard suggerisce che gran parte dei dati presenti nel database non è ancora stata sfruttata. Pertanto, molte delle persone esposte non lo sanno, e probabilmente non lo scopriranno fino a quando qualcuno non tenterà concretamente di accedere ai loro account o di usare la loro identità.

“Ogni settimana emerge qualcosa che sulla carta sembra enorme, ma che in realtà non è particolarmente nuovo”, ha dichiarato Pollock. “Per questo mi ha sorpreso, quando ho cominciato ad analizzare i casi specifici per verificare i dati: in alcuni di essi, le identità sono a rischio non perché siano già state usate in modo fraudolento, ma perché sono esposte e potrebbero esserlo da un momento all’altro.”

Cosa fare per proteggersi

L’occasione ci è naturalmente utile per ricordare che per contenere il rischio di subire le più pericolose conseguenze del data breach è possibile ricorrere ad alcuni semplici accorgimenti.

Per esempio, usare la stessa password su più servizi (o peggio, una password semplice e facile da indovinare) significa che un singolo data breach di anni fa può ancora oggi aprire le porte a decine di account diversi. L’uso di un password manager, che consente di generare e gestire credenziali uniche e robuste per ogni sito o applicazione, rimane dunque uno degli strumenti più efficaci per ridurre questo rischio: qui puoi trovare i migliori.