Studio: i dati del breach Carhartt gonfiati da dati sintetici

Una richiesta da 3,3 milioni di dollari e una fuga di 50GB

La vicenda del data breach di Carhartt ha preso un'altra piega questo mese dopo che i ricercatori di sicurezza hanno determinato che una parte significativa dei dati divulgati era sintetica piuttosto che autentiche informazioni dei clienti. Il gruppo di estorsione ShinyHunters aveva affermato di aver divulgato 50GB di dati di Carhartt il 13 agosto, dopo una negoziazione fallita a seguito di una richiesta di riscatto iniziale di 3,3 milioni di dollari. Quando Carhartt avrebbe rifiutato di pagare, il gruppo ha pubblicato pubblicamente il set di dati, presentandolo come prova di un massiccio compromesso.

A prima vista, la fuga di dati sembrava enorme. Ma come spesso accade con le rivendicazioni di breach guidate da estorsioni, la dimensione grezza del file e il numero di record raccontavano solo una parte della storia. Un esame tecnico più approfondito ha rilevato che i dati includevano voci fabbricate o duplicate, il che significa che la reale portata delle informazioni personali esposte era considerevolmente inferiore a quanto pubblicizzato da ShinyHunters.

Come gli analisti hanno scoperto i numeri gonfiati

Questo schema non è nuovo. Come trattato nel nostro precedente rapporto su le rivendicazioni del breach Carhartt dimezzate dopo la revisione di Troy Hunt, la verifica indipendente è spesso l'unico modo per distinguere un breach legittimo da una tattica estorsiva gonfiata. I ricercatori che hanno esaminato i file divulgati li hanno sottoposti a strumenti di deduplicazione e validazione progettati per segnalare record falsi o generati automaticamente, come domini email privi di senso, modelli di indirizzi ripetuti o voci che non corrispondono a nessun account reale.

Il risultato è stata una riduzione significativa del numero confermato di individui colpiti una volta rimossi i record sintetici e duplicati. Questo non significa che nessun dato reale sia stato esposto. Significa che il numero reale di clienti impattati era molto inferiore alla cifra di primo piano che ShinyHunters ha usato per fare pressione su Carhartt e generare attenzione mediatica.

Questa tattica serve a un duplice scopo per gli attori delle minacce. Una dimensione del file più grande e più allarmante rende la minaccia estorsiva più credibile e dannosa, aumentando la pressione sull'azienda vittima affinché paghi. Inoltre genera una copertura stampa sproporzionata, che i gruppi di estorsione spesso usano come leva in future negoziazioni con altri bersagli. Riempire una fuga di dati con dati sintetici costa poco all'attaccante ma può spostare drasticamente la percezione pubblica della gravità di un incidente.

Perché questo è importante per la privacy, non solo per i titoli dei giornali

Le implicazioni per la privacy qui sono più sottili di una tipica storia di breach. Quando le rivendicazioni di breach vengono gonfiate, accadono due cose contemporaneamente. Primo, il pubblico e persino i professionisti della sicurezza possono sopravvalutare quanti dati personali genuini stiano circolando, portando a panico inutile o a sforzi di risposta mal indirizzati. Secondo, e più importante, può far sì che le vere vittime, le persone i cui dati sono stati effettivamente inclusi e verificati, si perdano nel rumore di una storia dominata da numeri esagerati.

Per un'azienda come Carhartt, l'incidente illustra anche il rischio reputazionale che deriva da qualsiasi tentativo di estorsione, indipendentemente da quanto dei dati rivendicati si riveli autentico. Una volta che un gruppo di minaccia annuncia un breach e una cifra di riscatto, la storia si diffonde rapidamente, e correggere il record successivamente raramente riceve lo stesso livello di attenzione della rivendicazione iniziale.

Cosa significa per te

Se sei un cliente o un dipendente Carhartt e ti chiedi se le tue informazioni fossero parte di questo breach, l'approccio più sicuro è trattare qualsiasi esposizione come possibile piuttosto che confermata, senza assumere i numeri del caso peggiore riportati al culmine del tentativo di estorsione. Secondo quanto riportato, record autentici erano inclusi nella fuga di dati insieme a quelli fabbricati, quindi la verifica conta più della dimensione totale del file o del numero di record pubblicizzati da ShinyHunters.

Più in generale, questo incidente è un promemoria del fatto che le rivendicazioni di breach da parte di gruppi di estorsione dovrebbero essere sempre trattate come non verificate fino a quando analisti indipendenti o l'azienda colpita non confermano i dettagli. Le richieste di riscatto e gli annunci drammatici di fughe di dati sono, in parte, una tattica di pressione, e i numeri associati non sono sempre affidabili.

Azioni pratiche

• Niente panico basandosi solo sui numeri dei titoli dei breach; attendi un'analisi verificata prima di presumere che i tuoi dati siano stati esposti.
• Se hai un account Carhartt, considera di cambiare la password e di attivare l'autenticazione a due fattori dove disponibile.
• Fai attenzione ai tentativi di phishing che fanno riferimento al breach, poiché gli attaccanti spesso sfruttano le notizie pubbliche sui breach per ingannare le vittime e farsi rivelare più informazioni.
• Usa un password manager per evitare di riutilizzare le credenziali su più siti, limitando i danni se un singolo account viene compromesso.
• Resta scettico sulle rivendicazioni dei gruppi di estorsione fino a quando non vengono confermate da ricercatori indipendenti, poiché i numeri gonfiati sono una tattica negoziale nota.