La più grande violazione di dati della storia: 16 miliardi di password di Apple, Facebook e Google trapelate

Un record di 16 miliardi di password sono stati esposti in una massiccia violazione dei dati scoperta dai ricercatori di cybersecurity che lavorano con Cybernews, secondo Vilius Petkauskas.

Queste credenziali non sono state riciclate da vecchi attacchi o ripubblicate da violazioni pubbliche. Sono nuove, non documentate e altamente pericolose.

Petkauskas e il suo team hanno confermato di aver passato mesi a scavare in questo caos, identificando 30 dataset diversi, ciascuno contenente da decine di milioni a 3,5 miliardi di record.

I ricercatori collegano la violazione dei dati a piattaforme globali e nuovi attacchi

Ognuno di questi file contiene vere credenziali di accesso degli utenti—indirizzi email, nomi utente e password—pronte per essere sfruttate. La scala è oltre qualsiasi cosa vista prima. Petkauskas l'ha definita la più grande dump di dati di accesso rubati mai confermata.

La maggior parte del materiale trapelato non era mai stata vista pubblicamente. Esiste un'unica eccezione: un database di 184 milioni di password che aveva già circolato online. Tutto il resto? Completamente nuovo. E non spazzatura casuale.

I dati sono strutturati—righe pulite che mostrano l'URL della piattaforma, seguiti da nomi utente e password. È il sogno di un hacker perché può essere inserito in strumenti di attacco automatizzati senza alcuna modifica. È per questo che i ricercatori hanno avvertito che non si tratta di un'altra fuga di dati. Questo è ciò su cui si basano i furti di account su larga scala.

Le credenziali esposte danno accesso a piattaforme principali come Apple, Google, Facebook, GitHub, Telegram, e persino alcuni portali governativi. Il pericolo qui non è solo la scala, ma la qualità. Queste non sono credenziali scadute o irrilevanti. I dati indicano account attivi, molti dei quali ancora in uso. Petkauskas e il suo team hanno affermato che la fuga di dati potrebbe portare a campagne di phishing su larga scala, attacchi di credential stuffing e furti diretti di account in ogni principale ecosistema tecnologico.

Il ricercatore ha visto come le credenziali erano strutturate, memorizzate e raggruppate. La formattazione uniforme e la mancanza di esposizione precedente suggeriscono che non siano state raccolte passivamente. Sono state scrape o estratte utilizzando strumenti attivi—probabilmente malware infostealer—e raggruppate in dataset ottimizzati per la vendita o il deployment.

Alcuni dataset includevano accessi ai portali per sviluppatori, account VPN e credenziali aziendali, dando agli attaccanti le chiavi sia dei sistemi personali che aziendali.

Darren Guccione, co-fondatore e CEO di Keeper Security, ha dichiarato che questa "fuga di password GOAT" mostra quanto spesso le aziende lascino involontariamente dati sensibili alla luce del sole. Guccione ha affermato che le configurazioni cloud errate sono ancora una vulnerabilità massiccia. In alcuni casi, le credenziali vengono scaricate in bucket cloud senza alcun controllo di accesso. "Questo potrebbe essere solo la punta dell'iceberg di sicurezza più grande in attesa di schiantarsi nel mondo online", ha detto Darren.

Organizzazioni massive con team decentralizzati continuano a commettere gli stessi errori: caricando dati su drive condivisi, lasciando i log non protetti e utilizzando password di base attraverso i sistemi. È così che si finisce con miliardi di record che fluttuano ovunque. Darren ha detto: "Il fatto che le credenziali in questione abbiano un alto valore per servizi ampiamente utilizzati comporta implicazioni di vasta portata."