Dati di 15 milioni di kazaki in vendita: la violazione di eGov non è confermata

Il 12 agosto 2026 su un forum del darknet è comparso un annuncio: un database che, nella descrizione del venditore, riguarda 15 milioni di abitanti del Kazakistan. Dati del passaporto, numeri di telefono, indirizzi email, password, luoghi di lavoro e scansioni di documenti. Circa tre quarti del paese. Il venditore sostiene che i dati vengano da eGov, il portale dei servizi pubblici. Il ministero competente dice che nulla di ciò è confermato.

Che cosa viene venduto

L’annuncio è emerso tramite il canale Telegram Mash e il 12 agosto è stato ripreso dai media kazaki. Un utente con il nickname shymzz13 ha messo in vendita un file da 2,7 GB con circa 47 milioni di righe su circa 15 milioni di persone e chiede 0,5 bitcoin per il tutto. I campi pubblicizzati sono proprio quelli che fanno male: dati completi del passaporto, telefoni, email, password, informazioni sul lavoro e documenti scansionati.

Nessuno fuori dal forum ha visto l’insieme completo. Di pubblico ci sono la descrizione del venditore, un campione e il prezzo. La distinzione conta, perché nel mercato dei dati rubati una buona storia vale quasi quanto dei buoni dati.

Che cosa dice lo Stato

Il Ministero dell’intelligenza artificiale e dello sviluppo digitale ha confermato di essere a conoscenza delle pubblicazioni e di svolgere una verifica tecnica insieme ad altre agenzie. Il suo argomento centrale non è negare la fuga in sé, ma una discrepanza nella descrizione.

Perché una violazione può non esserlo

Il Kazakistan c’è già passato. Nell’estate del 2025 girò un insieme di 16,3 milioni di record: nomi, codici nazionali, date di nascita, indirizzi, telefoni, cittadinanza. Le autorità verificarono e il viceministro Doszhan Musaliev raccontò poi che cosa era emerso. La via più probabile non fu un’effrazione ma l’accesso tramite account legittimi: credenziali cedute o rubate e poi un semplice scaricamento. La parte principale di quell’insieme, secondo quella verifica, era stata sottratta già nel 2022 e solo in parte aggiornata più tardi.

È la forma consueta di queste storie. Un annuncio fresco è spesso un corpo di dati vecchio, riconfezionato, integrato e rivenduto sotto un titolo più forte. E questo cambia la reazione: cercare un buco nel portale non serve se la porta è stata aperta con una chiave vera.

Un solo ingresso per tutto

La parte scomoda non riguarda questa violazione in particolare. Un portale statale è comodo proprio perché è unico: un accesso per tasse, immobili, sanità, scuola dei figli. La stessa proprietà lo rende un punto singolo di guasto. Ciò che esce da lì non è una password che si cambia, sono fatti su una persona, e quelli non si riemettono.

Non è nemmeno una particolarità locale. Nel 2021 il registro nazionale delle carte d’identità dell’Argentina perse i dati di decine di milioni di cittadini, e anche là il ladro lo annunciò con un’offerta di vendita. Ovunque l’identità sia centralizzata, il valore di una singola copia del database cresce con ogni nuovo servizio che vi si collega.

Che cosa può fare davvero una persona

1. Cambiare la password del portale pubblico e della casella email collegata, e non riusarla da nessun’altra parte.
2. Attivare la verifica in due passaggi ovunque sia disponibile, meglio con app che via SMS: un numero preso da un archivio simile serve per prima cosa allo scambio di SIM.
3. Considerare sospette chiamate e messaggi che conoscono già i vostri dati. Numero di passaporto e luogo di lavoro in bocca a chi chiama ora costano poco.
4. Dove un servizio accetta la scansione di un documento come prova, chiedere un altro metodo. Una scansione lasciata a un negozio o a un locatore è la prossima fuga.

Qui la VPN non cambia nulla

Vale la pena dirlo chiaramente, perché fughe di dati e strumenti di privacy vengono citati di seguito. Una VPN protegge il traffico in transito: nasconde la connessione alla rete e al provider. Su un database che contiene già i vostri dati del passaporto non incide affatto, perché la copia sta dall’altra parte. Serve contro intercettazioni e blocchi, non contro la copia di un registro statale.