L'Ucraina incrimina tre persone per 610.000 account Roblox rubati e venduti in Russia a 80 centesimi l'uno: il malware prendeva i cookie di sessione, password e 2FA non contavano

La procura della regione ucraina di Leopoli ha rinviato a giudizio tre giovani della città di Drohobyč per aver rubato l'accesso a più di 610.000 account Roblox e averli venduti tramite siti russi e canali Telegram, ha comunicato la Procura generale il 14 settembre. L'organizzatore ha 19 anni; i suoi due complici 22. Tra maggio 2025 e aprile 2026, secondo l'atto d'accusa, hanno infettato i computer dei giocatori con un infostealer mascherato da trucchi e bonus gratuiti, ma ciò che prendevano non erano password. Prendevano i cookie di sessione, i piccoli file che tengono un giocatore connesso, e quelli aprivano gli account senza password e senza far scattare l'autenticazione a due fattori. Un account si vendeva a circa 70 rubli, più o meno 80 centesimi di dollaro; gli investigatori stimano i proventi potenziali in oltre 20 milioni di grivnie, circa 480.000 dollari, e hanno tracciato 2,4 milioni di grivnie riciclati attraverso exchange di criptovalute sui conti bancari degli indagati. La pena massima è di 12 anni.

Come funzionava lo schema

L'organizzatore ha conosciuto i due complici su forum di gioco nel 2025, secondo la Polizia nazionale, e ha progettato una catena in più fasi. La prima era l'infezione: software pubblicizzato come vantaggio nel gioco o bonus gratuiti, in realtà uno stealer che raccoglieva credenziali e, soprattutto, i cookie dal browser della vittima. La seconda era la verifica: la procura descrive un programma costruito su misura in cui venivano caricate le "chiavi" rubate; controllava se ciascuna aprisse ancora un profilo Roblox e, in caso positivo, calcolava subito il valore dell'account cercando oggetti di gioco, equipaggiamento raro e valuta virtuale sul saldo. La terza era smistamento e vendita. I profili con collezionabili, inventario limitato o saldo Robux comprato con denaro reale venivano tenuti in file separati, di cui gli investigatori ne hanno recuperati 357, e venduti singolarmente; il resto andava all'ingrosso. Le vendite passavano per un sito con dominio registrato in Russia e canali Telegram, i pagamenti arrivavano in cripto, la cripto veniva convertita in grivnie e trasferita sui conti bancari degli stessi indagati, ed è questa la base dell'accusa di riciclaggio. I ruoli erano divisi: l'organizzatore assegnava i compiti, pagava i server, seguiva le vendite e divideva i proventi; gli altri due gestivano sito e canali, parlavano con gli acquirenti e maneggiavano il denaro. La polizia ad aprile aveva detto che "in diversi mesi" il malware aveva raggiunto oltre 610.000 profili; l'atto d'accusa colloca l'operazione tra maggio 2025 e aprile 2026, quando gli arresti l'hanno interrotta.

Perché un cookie batte password e codice

Quando accedete a Roblox, o a quasi qualsiasi sito, il server consegna al browser un token e ne conserva una copia; da quel momento il browser presenta il token a ogni richiesta e il server vi considera connessi. La password è stata controllata una volta, all'accesso. Il codice a due fattori, se lo avete, è stato controllato anch'esso una volta, all'accesso. Il token è ciò che vi identifica dopo, e chi possiede il token è voi, da qualsiasi computer, in qualsiasi paese, finché il token non scade o viene revocato. Per questo il verificatore del gruppo di Drohobyč non ha avuto bisogno di una sola password: caricava i cookie e chiedeva a Roblox se funzionassero ancora. Ed è per questo che i consigli di sicurezza della piattaforma stessa, password lunga e 2FA, non hanno protetto i 610.000. Quelle misure presidiano la porta d'ingresso; uno stealer entra da una finestra che la vittima ha aperto da sola eseguendo uno strumento "Robux gratis". La stessa meccanica muoveva i falsi siti GTA 6 di agosto e lo stealer Vidar che trasportavano, ed è il motivo per cui la nostra guida semplice ai codici a due fattori mette l'igiene delle sessioni accanto ai codici stessi. Roblox offre l'unico controllo che conta qui: nelle impostazioni dell'account, sotto Sicurezza, "Esci da tutte le altre sessioni" invalida ogni token emesso fino a quel momento, compresi quelli copiati da uno stealer.

Cosa dovrebbe fare una famiglia con Roblox in casa

Le vittime di questo schema sono per lo più bambini e adolescenti, perché sono loro a giocare a Roblox ed è più probabile che siano loro a lanciare un programma che promette Robux gratis. I passi pratici sono brevi. Qualsiasi cosa prometta valuta, oggetti o un vantaggio nel gioco e chieda di essere scaricata ed eseguita è uno stealer fino a prova contraria; Roblox non distribuisce trucchi, e nessun bonus autentico arriva come eseguibile. Se un programma del genere è stato eseguito anche una sola volta su un computer, date per persi tutti i cookie di sessione di quel browser: cambiate la password Roblox da un dispositivo pulito, poi usate "Esci da tutte le altre sessioni", poi fate lo stesso per l'account email collegato a Roblox, perché lo stealer ha preso anche i suoi cookie. Attivate comunque l'autenticazione a due fattori, perché ferma gli aggressori che comprano solo elenchi di credenziali trapelate. Controllate la cronologia degli scambi e l'inventario dell'account per oggetti usciti senza uno scambio che riconoscete. E sui computer di famiglia condivisi date al bambino un profilo del browser tutto suo, senza login dei genitori salvati, così che un trucco scaricato di sabato non porti via anche la sessione bancaria di casa. L'operazione di Drohobyč vendeva gli account a 80 centesimi l'uno; conveniva a quel prezzo solo perché il malware faceva tutto il lavoro e le vittime si occupavano dell'installazione.