Un fornitore SMS lettone ha esposto 125 milioni di messaggi con codici di accesso

La filiale lettone di CSCTelecom, un'azienda che invia SMS per conto di altre imprese, ha lasciato aperto su internet un database con oltre 125 milioni di messaggi. Come ha riportato Cybernews l'11 novembre, i messaggi vanno da ottobre 2022 a settembre 2026 e comprendono codici di accesso monouso, link per reimpostare la password, avvisi bancari e dati di volo inviati a persone in Lettonia, Lituania ed Estonia. Il database si aggiornava in tempo reale: chi lo osservava vedeva un codice nello stesso momento in cui arrivava sul telefono del destinatario.

Cosa c'era nei messaggi

Il database girava su ClickHouse e conservava il testo completo di ogni messaggio, il nome dell'azienda mittente, l'orario, il prezzo di ogni SMS e dati di instradamento della rete mobile. Cybernews elenca codici di autenticazione, password temporanee, risultati di esami medici, dettagli di prenotazioni, avvisi di consegna con nomi e indirizzi, date di viaggio e notifiche di operazioni bancarie.

I messaggi di Swedbank mostravano numeri di conto IBAN, importi, destinatari, saldi e talvolta il negozio dell'acquisto. Quelli dell'assicuratore ERGO contenevano numeri di documenti, targhe e importi di fatture. I record legati al 112 mostravano numeri di telefono e dettagli dei casi. I messaggi di airBaltic contenevano dati di volo e cognomi dei passeggeri, e il car sharing CityBee e la catena di supermercati lituana IKI inviavano codici di accesso tramite questo gateway.

Nell'elenco dei mittenti figurano anche gli assicuratori Compensa e Artea, Porsche, la spesa online Barbora, EuroCash, DEPO, i centri commerciali Akropolis, PerlasGo, Autoplius e due strutture sanitarie lituane. LRT precisa che tra i messaggi di EuroCash1 c'erano allarmi di sicurezza su locali sorvegliati e bancomat.

Perché i codici via SMS sono il punto debole

La parte più pericolosa è il flusso in diretta di codici monouso. Un aggressore che conosceva già la password di qualcuno e osservava il database poteva inserire il codice o aprire il link di reimpostazione prima ancora che l'utente vero guardasse il telefono. Quattro anni di storico permettono anche di tracciare il profilo del titolare di un numero: che banca usa, dove fa acquisti, quando vola e quanto spende.

Voldemaras Kadys, responsabile della sicurezza e dell'ingegneria di piattaforma di Mediatech, proprietaria di Cybernews, ha detto a LRT che anche senza il testo dei messaggi sapere a quali servizi è collegato un numero basta per una truffa mirata. Un SMS falso che sembra arrivare dalla propria banca o compagnia aerea è molto più convincente. Secondo lui il caso solleva anche dubbi sul rispetto del GDPR, che impone di conservare i dati personali solo per il tempo necessario.

Cosa dicono le aziende

CSCTelecom non aveva risposto a Cybernews al momento della pubblicazione. SEB Latvia ha dichiarato di usare CSCTelecom solo «in misura limitata» per la pubblicità dei fondi pensione, di inviare le informazioni sensibili attraverso altri canali e di non essere stata informata dell'incidente dal fornitore. airBaltic ha detto di stare valutando la situazione con il fornitore e che è presto per dire quanti clienti siano coinvolti. La compagnia consiglia di diffidare di messaggi, email e telefonate a suo nome che mettono fretta, contengono link o chiedono dati personali. Anche PerlasGo ha detto di stare valutando la situazione.

Cosa fare se vivete nei Paesi baltici

• Se negli ultimi quattro anni avete ricevuto SMS da una di queste aziende, date per scontato che il vostro numero e i servizi collegati siano noti ad altri.
• Per banca ed email passate dai codici via SMS a un'app di autenticazione o alla conferma nell'app, se il servizio lo consente.
• Cambiate le password degli account che usavano codici o link di reimpostazione via SMS.
• Diffidate di chiamate e messaggi che citano i vostri voli, ordini, visite mediche o bonifici, e verificateli tramite l'app o il sito ufficiale.