Le informazioni personali di circa 533 milioni di utenti Facebook sono finiti online su un popolare forum di hacker, consultabili gratuitamente. Si parla di numeri di cellulare, ID Facebook, nome, sesso, occupazione, data di nascita, indirizzi email e altre informazioni, come la posizione lavorativa e la situazione sentimentale. Le vittime risiedono in tutto il mondo, Italia compresa. Anzi, il Belpaese è terzo al mondo con 35.677.323 utenti coinvolti.

A quanto si apprende dalle fonti, il data leak non è recente: le stesse informazioni erano già circolate in una community di hacker nel giugno 2020. La differenza è che a quell’epoca i dati erano in vendita (si reputa che siano stati venduti per 30mila dollari), oggi vengono smerciati gratis. Il dato di colore è che, fra i numeri di cellulare compromessi, c’era anche quello di Mark Zuckerberk.

Come confermato da Facebook, la genesi del data leak è figlia di una vulnerabilità di sicurezza che era stata sfruttata nel lontano 2019 e che è ovviamente chiusa da tempo. Gli esperti di sicurezza reputano che dopo il primo round di vendita sia stato generato un bot Telegram privato che ha permesso ad altri cyber criminali di pagare cifre molto basse per accedere agli stessi dati.

I rischi di questo data leak

Il fatto che le informazioni siano in circolazione da tempo ne ha creato un deprezzamento progressivo, fino ad arrivare ad essere condivise a titolo gratuito. Questo tuttavia non abbassa la soglia di rischio per le vittime coinvolte. Come fa notare Jacinta Tobin, vicepresident Cloudmark Operations di Proofpoint, "la fuga di informazioni personali online comporterà senza dubbio un marcato aumento degli attacchi di smishing. È una tendenza che abbiamo visto, soprattutto durante la pandemia, con un incremento del 300% dei messaggi di smishing ogni trimestre negli ultimi 12 mesi. E se gli aggressori stanno prendendo di mira principalmente i consumatori, abbiamo notato un aumento preoccupante di attacchi anche alle aziende, con oltre l'81% che nel corso del 2020 ne ha riportato uno.
Per chi non avesse dimestichezza con la terminologia, lo smishing consiste in truffe via SMS, che spesso fanno leva su un brand noto per trarre in inganno le potenziali vittime e spingerle a cliccare su un link malevolo. 
Tobin aggiunge che “i consumatori si fidano dei messaggi SMS e sono molto più propensi a leggere e accedere ai link contenuti nel testo rispetto a quelli nelle email. Questo livello di fiducia, unito alla grande diffusione dei dispositivi mobili, rende questo canale particolarmente adatto per frodi e furti d'identità”.

La miglior difesa è la diffidenza

A seguito di un data leak, la prima azione da compiere è controllare che la propria email non sia stata compromessa, usando servizi gratuiti come per esempio Have I Been Pwned. A scanso di equivoci, è meglio cambiare le password rimpiazzandole con chiavi lunghe e complesse. Nel caso di un social network come Facebook, è bene anche provvedere a limitare le informazioni diffuse tramite il profilo pubblico.

Per difendersi dallo smishing, è bene essere sempre molto scettici sui messaggi che provengono da fonti sconosciute. Non cliccare mai sui link nei messaggi di testo, anche se sembrano codici offerte. Meglio collegarsi direttamente al sito del presunto mittente digitando manualmente il suo indirizzo web, e svolgere da lì tutte le operazioni. Inoltre, si consiglia di fare buon uso della funzione di segnalazione dello spam nel client di messaggistica, di modo che i messaggi fraudolenti vengano bloccati all’origine.