Fughe di dati dalle reti sociali

13.04.2021 - Dopo Facebook è toccato anche a LinkedIn subire una massiccia fuga di dati personali (scraping). Secondo il sito CyberNews i dati di 500 milioni di utenti della rete sociale professionale sono in vendita su un forum specializzato. Questi dati comprendono in particolare gli ID utenti, i nomi completi, gli indirizzi di posta elettronica, i numeri di telefono, i link ad altri profili LinkedIn e a quelli di altre reti sociali.

In base alle ultime notizie anche Clubhouse è stato colpito da una fuga di dati.

L’IFPDT si è messo in contatto con i suoi omologhi europei e continuerà a monitorare la situazione.

Dato che le sedi sociali di queste due società sono in Irlanda, l’autorità irlandese per la protezione dei dati ne è l’autorità responsabile nell’UE e ha pubblicato un comunicato stampa sulla fuga di dati Facebook e sui relativi provvedimenti.

Il Garante, l’autorità italiana per la protezione dei dati, ha contattato le due reti sociali per sapere se avessero l’intenzione di mettere a disposizione degli utenti interessati uno strumento che permettesse loro di controllare se i loro dati erano stati violati. Invita anche gli utenti a prestare particolare attenzione a eventuali anomalie connesse al loro numero di telefono e ai loro account Facebook / LinkedIn.

Che cosa fare in caso di fuga di dati?

In caso di fuga di dati (comunemente detta anche «data leak») le seguenti misure generali possono aiutare a stabilire se se ne è interessati e a proteggersi:

Stabilire se si è interessati:

Per stabilire se si è oggetto di una fuga di dati, esistono in Internet piattaforme come Identity Leak Checker dell’Istituto Hasso Plattner o il noto servizio https://haveibeenpwned.com del consulente australiano in materia di sicurezza Troy Hunt. Questi servizi possono essere utilizzati per verificare se il proprio indirizzo di posta elettronica o il proprio numero di telefono sono già stati oggetto di una fuga. Anche se non consente sempre di avere indicazioni su un’eventuale fuga, il risultato del controllo dovrebbe essere accolto con prudenza. Nel caso di LinkedIn gli autori del reato hanno pubblicato innanzitutto un «campione», cioè un estratto parziale per verificarne l'autenticità.

Istruzioni da parte del gestore:

Di regola i gestori informano essi stessi gli utenti interessati da una fuga di dati non autorizzata di questa portata o se sussiste un rischio elevato che si verifichi. Occorre seguire le loro istruzioni.

Cambiare la password:

È spesso difficile capire se sono state rubate anche le password. Se vi sono forti sospetti, occorre assolutamente reimpostare la password, anche se si utilizza un’autentificazione forte per effettuare il login, per esempio mediante un secondo fattore. Il fatto che le password siano o meno criptate ha poca importanza. Nel caso di password criptate o «valori di hash» occorre partire dal presupposto che possono essere decriptate; di conseguenza anch’esse devono essere cambiate.

Mezzi di pagamento:

Qualora non vi sia la certezza che anche i mezzi di pagamento non siano stati compromessi, occorre sorvegliarli attentamente. Se vi sono segnali di abuso, il mezzo di pagamento deve essere immediatamente bloccato presso il gestore.

Maggiore prudenza:

Nel caso di Facebook vi sono già segnali che indicano che i dati sono utilizzati in modo improprio; sono stati ad esempio inviati SMS con link, cliccando sui quali si scaricano programmi maligni (malware). Gli utenti interessati dovrebbero essere particolarmente diffidenti, in particolare nei confronti di messaggi di posta elettronica o di SMS provenienti da mittenti sconosciuti.