Un hacker mette in vendita 10 milioni di record dell'appaltatore francese Solutions30

Un hacker che usa il nome Syrv4x sta vendendo un database da 34 GB che l'annuncio attribuisce a Solutions30, azienda fondata in Francia i cui tecnici installano e riparano apparecchiature in case e uffici per conto di società di telecomunicazioni, energia e informatica in tutta Europa. L'annuncio dichiara 10.376.950 record, tra cui quasi 4 milioni di nomi distinti, 6,8 milioni di numeri di telefono univoci e 981.883 indirizzi email univoci, oltre a indirizzi dei clienti e ai luoghi in cui sono stati inviati i tecnici. Solutions30 non ha confermato una violazione né ha rilasciato commenti.

Cosa mostra il campione

Il sito francese Cyberattaque.org ha ottenuto un campione di 1.500 righe e afferma che i dati corrispondono a schede clienti e contatti usate nell'attività di Solutions30. Di quei 1.500 record, 1.309 avevano un indirizzo postale, 840 un numero di telefono, 468 un numero di cellulare e 277 un indirizzo email. La struttura comprende anche campi per la professione, recapiti aziendali, numeri di registrazione delle imprese e riferimenti interni che collegano ogni record a un partner o a un tipo di intervento. I campi di commento a testo libero erano compilati in 544 record.

Nel campione il sito non ha trovato password, numeri di carte bancarie né IBAN. Alcuni profili più vecchi contengono però identificativi di accesso ADSL o VoIP, il piano internet e il precedente operatore. Dove era indicata la data di sottoscrizione, questa cadeva tra il 2008 e il 2014, il che suggerisce che almeno una parte del file risalga a PC30, il nome con cui l'azienda installava modem e router per i provider internet francesi.

I totali provengono dal venditore e non è stato possibile verificarli sull'intero file da 34 GB. Non significano nemmeno 10 milioni di persone diverse: una persona può comparire in più record o essere collegata a più interventi.

Grandi aziende nel file

Solutions30 lavora per conto di aziende che esternalizzano installazione e manutenzione, quindi i dati vanno ben oltre i suoi clienti diretti. Nel campione Cyberattaque.org ha trovato riferimenti a BNP Paribas, Carrefour, Thales, Fnac, Renault, Allianz, Dassault e alla Banca di Francia. In 221 record BNP Paribas compariva insieme a dettagli sulla propria struttura interna, fino al livello di reparto e filiale. Ciò non significa che queste aziende siano state violate: compaiono perché Solutions30 ha svolto lavori o gestito contatti per loro. L'elenco del venditore dichiara oltre 160 contratti, clienti o tipi di lavoro nei settori bancario, della distribuzione, delle telecomunicazioni, dell'energia e dell'informatica.

Solutions30 dichiara di avere più di 16.000 tecnici, di eseguire oltre 80.000 interventi al giorno in Europa e di aver superato i 65 milioni di interventi dalla fondazione nel 2003. Non si sa come Syrv4x abbia ottenuto i dati: potrebbe trattarsi di un'intrusione recente, di un vecchio server, di un'applicazione aziendale o di un backup trovato altrove. Lo stesso venditore ha pubblicato a fine settembre quasi 16.000 record di appuntamenti per allacci SFR.

Il rischio: il falso tecnico

Le violazioni presso i fornitori esterni sono difficili da prevedere per i clienti. Questa settimana il più grande gruppo australiano di cura dei tumori ha confermato una fuga di dati presso uno dei suoi fornitori. In questo caso il pericolo principale non è l'accesso diretto ai conti bancari, ma il contesto che il file offre a un truffatore. Chi conosce il vostro nome, indirizzo, numero di telefono e il provider che ha inviato un tecnico può telefonare o bussare alla porta fingendosi quel tecnico, a proposito del router, della linea in fibra, del contatore o del terminale di pagamento, e risultare convincente. Anche i dipendenti delle aziende elencati con ruolo e reparto sono bersagli facili per un phishing mirato.

• Se qualcuno telefona o si presenta alla porta per una riparazione che non avete richiesto, verificate chiamando il vostro provider al numero indicato nel contratto o sul suo sito.
• Non date a un «tecnico» password, codici monouso o dati bancari e non installate app di accesso remoto su sua richiesta.
• Aspettatevi SMS ed email che citano una vera visita passata. Un dettaglio reale non rende autentico il messaggio.