Miliardi di numeri di telefono trapelati potrebbero portare a sequestri di account

I dati isolati sono raramente particolarmente preziosi, se vi si accede da soli. Ciò si è dimostrato ancora una volta vero quando oltre 3,5 miliardi di numeri di telefono sono trapelati da Clubhouse, un servizio di social media incentrato sull'interazione audio. Tuttavia, i dati non sono rimasti isolati per molto tempo.

Inizialmente, un'entità che ha avuto accesso alla fuga di miliardi di numeri di telefono ha pubblicato i dati su un forum di hacking sotterraneo, gratuitamente per chiunque fosse interessato. Le cose si sono fatte interessanti quando una terza parte ha dovuto lavorare con la fuga di dati. Un altro cattivo attore ha raccolto i numeri trapelati e ha iniziato ad associarli a un'altra fuga di dati composta da oltre mezzo miliardo di profili Facebook trapelati all'inizio del 2021.

Una volta che i due set di dati sono stati accuratamente abbinati e accoppiati, i dati combinati ora valgono improvvisamente $ 100.000 e sono in vendita sul dark web. ThreatPost ha citato l'agenzia di sicurezza CyberNews, che ha riferito che i dati vengono venduti sia in blocco che in blocchi più piccoli, a prezzi più accessibili.

I dati combinati appena emersi possono ora essere messi a frutto da malintenzionati che possono utilizzarli in attacchi di acquisizione di account. I notiziari hanno inoltre citato il ricercatore di sicurezza Brian Uffelman, un analista di PerimeterX, il quale ha affermato che i tentativi di acquisizione dell'account hanno rappresentato quasi l'85 percento dei tentativi di accesso totali nell'ultima metà del 2020, una percentuale sbalorditiva.

I dati possono essere utilizzati per una serie di vettori di attacco, dall'invio di messaggi SMS falsi in quello che viene definito smishing, con contenuti credibili appositamente personalizzati, al tentativo di piccoli furti di carte regalo e altri articoli finanziariamente interessanti accessibili tramite account compromessi. Dati strutturati come questo possono essere utilizzati anche per il targeting e la personalizzazione degli annunci con precisione laser se acquistati dalle reti pubblicitarie.

Incidenti come questo mostrano solo che le informazioni possono avere sia valore che potere, specialmente quando set di dati separati vengono combinati in nuove strutture.