Un nuovo rapporto di CyberStation afferma di aver trovato 1,8 milioni di record del Bangladesh in circolazione sul dark web. La scoperta è un utile promemoria del fatto che l'esposizione dei dati del Bangladesh sul dark web è raramente il risultato di un singolo incidente drammatico. Più spesso, è l'accumulo lento di molte piccole perdite che non scompaiono mai.

L'articolo originale è breve, quindi questo post si attiene a quanto è stato riportato e spiega cosa suggerisce per le persone comuni.

Cosa ha trovato CyberStation sul dark web

Secondo il rapporto, i servizi governativi rappresentavano la quota maggiore dei record dei cittadini esposti. La tecnologia e le telecomunicazioni avevano i tassi di esposizione più elevati, il che significa che quei settori apparivano più pesantemente nei dati esaminati da CyberStation.

Il numero principale è 1,8 milioni di record. È una cifra elevata, ma il dettaglio più importante è come è stata assemblata. CyberStation non ha esaminato un singolo database trapelato. Ha guardato i dati in circolazione attraverso il dark web e li ha attribuiti a una serie di fonti.

Il rapporto non ha confermato una fonte di violazione specifica. Nessuna singola azienda, agenzia o incidente è stato nominato come origine dei record.

Perché i dati provengono da molte violazioni, non da una sola

La spiegazione probabile, secondo il rapporto, è che i record provengano da molteplici violazioni di terze parti nel tempo. In altre parole, non si tratta di una nuova fuga di dati che le persone possono indicare e a cui rispondere. È un pool di dati che si è accumulato da incidenti precedenti.

Questo è importante perché i dati personali rubati non scadono quando una storia di violazione svanisce. Una volta copiati, i record possono essere rivenduti, uniti ad altri set di dati e riutilizzati per anni. Un nome e un numero di telefono di un incidente possono essere abbinati a un indirizzo email di un altro, creando un profilo più completo di quanto qualsiasi singola violazione potrebbe fornire.

Spiega anche perché le persone non possono affidarsi a un singolo avviso di violazione per sapere se sono interessate. Se l'esposizione proviene da diverse terze parti non correlate, potrebbe non esserci un'organizzazione responsabile di avvisarti. Potresti non ricevere mai una notifica, anche se i tuoi dati sono in circolazione.

Il modello è familiare altrove. I dati di identità detenuti da telecomunicazioni e governi sono stati presi di mira in altri casi recenti, come la violazione di Odido che ha colpito 6,5 milioni di clienti nei Paesi Bassi e la violazione di ANTS ID da 18 milioni di record in Francia. Questi sono eventi separati, e nulla nel rapporto di CyberStation li collega al Bangladesh. Mostrano semplicemente come gli stessi tipi di organizzazioni detengano dati che gli attaccanti trovano preziosi.

Perché la cifra di 1,8 milioni potrebbe essere una sottostima

CyberStation descrive le sue cifre come prudenti e afferma che l'esposizione effettiva potrebbe essere maggiore. Ci sono alcune ragioni per cui ciò è plausibile, sebbene il rapporto stesso debba essere considerato l'autorità sulla propria metodologia.

Qualsiasi conteggio dei dati del dark web dipende da ciò che i ricercatori possono trovare e accedere. I forum privati, le vendite chiuse e i set di dati scambiati direttamente tra acquirenti sono più difficili da misurare. Anche i record che si sovrappongono tra diverse violazioni complicano il conteggio, poiché la stessa persona può apparire in più di una fonte.

La conclusione pratica è che 1,8 milioni dovrebbe essere letto come un limite inferiore piuttosto che superiore. È un'istantanea di ciò che era visibile, non una contabilità completa di tutto ciò che è stato esposto.

Cosa significa per te

Se vivi in Bangladesh, o hai utilizzato servizi governativi, di telecomunicazioni o tecnologici del Bangladesh, presupponi che alcune delle tue informazioni possano già essere là fuori. Non è motivo di panico, ma dovrebbe cambiare il modo in cui ti proteggi.

I principali rischi di questo tipo di esposizione sono il phishing, le truffe via SMS e i tentativi di takeover dell'account. Gli attaccanti che conoscono il tuo nome, numero di telefono o email possono creare messaggi convincenti, soprattutto se sembrano provenire da un operatore di telecomunicazioni o da un ufficio governativo.

Poiché i dati sono vecchi e sparsi, le difese più efficaci sono quelle che funzionano indipendentemente da quale violazione provengano i tuoi dati.

Come verificare la tua esposizione e ridurre il rischio

Inizia verificando se il tuo indirizzo email e numero di telefono compaiono in violazioni note. Strumenti affidabili di notifica delle violazioni consentono di cercare per email, e alcuni coprono anche i numeri di telefono. Un riscontro non significa che sei stato violato oggi, ma ti dice quali account meritano attenzione.

Successivamente, rafforza i tuoi account:

  • Usa password uniche per ogni account, idealmente archiviate in un gestore di password, così una vecchia violazione non può sbloccarne altre.
  • Attiva l'autenticazione a più fattori (MFA), preferibilmente con un'app di autenticazione anziché via SMS quando possibile.
  • Sii scettico nei confronti dei messaggi inaspettati che menzionano il tuo nome, numero o dettagli dell'account. Contatta l'organizzazione attraverso un canale ufficiale invece di rispondere.
  • Condividi meno dati personali con i servizi governativi e di telecomunicazioni. Fornisci solo ciò che è richiesto ed evita i campi opzionali che aggiungono dati che un'organizzazione detiene su di te.

Vale anche la pena ricordare che l'esposizione non è limitata a un solo settore. Anche le aziende di personale e i servizi pubblici hanno affrontato attacchi, come visto nella presunta violazione presso United Personnel, quindi l'abitudine di limitare ciò che consegni si applica ampiamente.

Punti chiave

Il rapporto di CyberStation mostra che l'esposizione dei dati del Bangladesh sul dark web è una condizione in corso, non un singolo evento con un inizio e una fine chiari. Con 1,8 milioni di record legati a molteplici violazioni passate di terze parti, e cifre che potrebbero sottostimare il totale reale, aspettare un avviso non è una strategia affidabile.

Verifica se il tuo indirizzo email e numero di telefono compaiono in violazioni note, passa a password uniche con MFA e condividi meno dati personali con i servizi governativi e di telecomunicazioni. I casi Odido e ANTS mostrano come i dati di identità detenuti da telecomunicazioni e agenzie pubbliche possano essere esposti, quindi ridurre ciò che fornisci è una delle poche misure interamente sotto il tuo controllo.