Una voce di Have I Been Pwned relativa a una violazione di dati di Crunchbase ha inserito 559.908 indirizzi email in un database pubblico consultabile. Secondo quanto riportato da TechNadu, i dati sono stati aggiunti al servizio di notifica delle violazioni il 14 ottobre 2026, e gli indirizzi appartengono in gran parte a lead e contatti commerciali. La segnalazione segue un tentativo di estorsione "paga o divulga" del gennaio 2026 da parte del gruppo ShinyHunters.
Se ti sei mai iscritto a Crunchbase, sei stato inserito nella sua pipeline di vendita o hai scambiato email con qualcuno che ci lavora, vale la pena fare un controllo rapido.
Cosa è stato divulgato e come ShinyHunters è arrivato fin qui
Crunchbase è un'azienda privata nota per il suo database di informazioni su aziende e startup. Secondo il rapporto, i 559.908 indirizzi email ora presenti in Have I Been Pwned (HIBP) appartengono in gran parte a lead e contatti commerciali, non a normali account di consumatori. HIBP elenca anche ulteriori tipi di dati nella sua voce relativa all'incidente. L'estratto che abbiamo esaminato non specifica ogni campo, quindi la voce stessa di HIBP è il posto migliore per vedere esattamente cosa è stato esposto.
La cronologia è importante. Nel gennaio 2026, ShinyHunters ha preso di mira Crunchbase con quello che il rapporto definisce un tentativo di estorsione "paga o divulga". Il gruppo ha dichiarato che i dati che avrebbe ottenuto ammontavano a più di 2 milioni di record. La segnalazione di ottobre suggerisce che la disputa si è conclusa con la circolazione dei dati, sebbene l'estratto del rapporto non dettagli come o dove siano stati rilasciati.
Nota la differenza tra le cifre. I 559.908 indirizzi in HIBP non sono la stessa cosa della dichiarazione del gruppo di oltre 2 milioni di record. Record e indirizzi email unici sono cose diverse, e il conteggio di HIBP riflette ciò che è stato caricato nel suo database. I gruppi di estorsione spesso fanno dichiarazioni esagerate, quindi tratta i numeri come separati finché non emergono maggiori dettagli.
Questo è uno schema familiare. La nostra copertura di come il gruppo ransomware Gentlemen ha elencato le rivendicazioni su MoneyGram, Deloitte e KFC mostra come le scadenze dei riscatti e le dichiarazioni pubbliche vengano usate come pressione, e perché l'assenza o la presenza di campioni di dati sia importante nel giudicare se una dichiarazione è reale.
Come verificare se la tua email è in Have I Been Pwned
La verifica richiede meno di un minuto:
- Vai sul sito web di Have I Been Pwned e inserisci il tuo indirizzo email nella casella di ricerca.
- Esamina l'elenco delle violazioni che compaiono. Se Crunchbase è tra queste, il tuo indirizzo era nei dati divulgati.
- Apri la voce di Crunchbase per vedere quali tipi di dati sono stati esposti insieme al tuo indirizzo.
- Ripeti la ricerca per ogni indirizzo che utilizzi, specialmente quelli di lavoro e quelli più vecchi di lavori passati.
Un dettaglio che molte persone trascurano: poiché questa fuga di dati è composta in gran parte da contatti commerciali, è più probabile che compaia la tua email di lavoro rispetto a quella personale. Controlla entrambe. Puoi anche usare la funzione di notifica di HIBP per essere avvisato se il tuo indirizzo compare in future violazioni.
Un risultato pulito non è una garanzia di sicurezza. HIBP copre solo le violazioni che sono state caricate al suo interno, quindi è un segnale utile, non un audit completo della tua esposizione.
Perché i contatti commerciali esposti affrontano phishing mirato
Un elenco divulgato di contatti commerciali è prezioso per gli attaccanti per una ragione specifica: dice loro chi lavora dove e chi potrebbe essere un lead di vendita, un acquirente o un decisore. Questo contesto rende le truffe più convincenti rispetto allo spam generico.
Aspettati messaggi che fanno riferimento al tuo ruolo, al tuo settore o a una plausibile relazione con un fornitore. Un'email che sembra provenire da un fornitore di dati, un potenziale cliente o un contatto finanziario ha più probabilità di essere aperta quando il mittente sembra conoscere la tua attività. Le email che ti esortano a "verificare il tuo account", aprire una fattura o spostare una conversazione su un altro canale meritano maggiore sospetto.
Il secondo rischio è il credential stuffing. Se i dati esposti includono password, o se hai riutilizzato una password di Crunchbase altrove, gli attaccanti possono provare la stessa combinazione di email e password su altri servizi. Le password riutilizzate trasformano una singola violazione in molte.
Le squadre di estorsione sono anche legate a un più ampio ecosistema criminale. Le recenti attività delle forze dell'ordine, come il sequestro di piattaforme di hacking e il trasferimento di un sospetto ransomware in Germania, mostrano che la pressione su questo mondo è in crescita, ma i dati divulgati tendono a continuare a circolare molto tempo dopo che il gruppo originale è stato smantellato.
Cosa significa questo per te
Se il tuo indirizzo è nei dati di Crunchbase, la tua email da sola non è una catastrofe. Il rischio pratico è che tu diventi un bersaglio più facile per messaggi convincenti e personalizzati. Se gestisci un team, vale lo stesso per i colleghi i cui indirizzi compaiono nella fuga di dati, poiché gli attaccanti potrebbero impersonarti per raggiungerli.
Passi da intraprendere se la tua email è stata esposta
- Cambia la tua password di Crunchbase se hai un account, e cambiala ovunque tu l'abbia riutilizzata.
- Usa un gestore di password per creare una password unica per ogni servizio, così una violazione non può sbloccarne un'altra.
- Attiva l'autenticazione a più fattori, preferibilmente con un'app di autenticazione o una chiave hardware piuttosto che via SMS.
- Verifica le richieste inaspettate tramite canali separati. Se un'email chiede pagamenti, credenziali o file sensibili, conferma tramite un numero di telefono o un canale di cui ti fidi già, non uno fornito nel messaggio.
- Avvisa il tuo team IT o di sicurezza se un indirizzo di lavoro è interessato, così possono monitorare i tentativi di impersonificazione.
- Sii cauto con link e allegati nei messaggi che fanno riferimento al tuo lavoro o alla tua azienda, anche se il mittente sembra familiare.
In conclusione
La voce di Have I Been Pwned sulla violazione di dati di Crunchbase è un promemoria del fatto che un tentativo di estorsione può concludersi con una fuga di dati pubblica mesi dopo. Cerca i tuoi indirizzi email personali e di lavoro in Have I Been Pwned oggi, poi segui i passi protettivi sopra indicati. Per maggiori contesto su come si sviluppano campagne di pressione come questa, leggi la nostra copertura delle rivendicazioni del ransomware Gentlemen linkata in precedenza in questo post.
