Violazione di Paidwork: trapelati 23 milioni di email e dati bancari

I file di una piattaforma freelance compaiono su un forum di hacking

Una violazione dei dati di Paidwork ha messo più di 23 milioni di record di utenti nelle mani dei criminali, secondo le segnalazioni sull'incidente. Gli hacker hanno divulgato quasi 11 GB di dati da Paidwork, una piattaforma che mette in contatto i freelance con attività retribuite, esponendo email, dati bancari e password con hash bcrypt legate a milioni di account. La fuga è emersa a luglio 2026 ed è stata segnalata tramite Have I Been Pwned, il servizio di notifica delle violazioni che traccia le credenziali compromesse in tutto il web.

Ciò che rende questa violazione degna di nota non è solo la portata, anche se 23 milioni di record sono un numero significativo, ma il tipo di dati coinvolti. Le piattaforme di freelance e gig economy spesso raccolgono informazioni bancarie per elaborare i pagamenti, il che significa che una violazione qui comporta un rischio finanziario oltre alle consuete preoccupazioni per il furto d'identità. Quando i dati bancari si trovano insieme a indirizzi email e password nello stesso file trafugato, la combinazione diventa molto più preziosa per i criminali di qualsiasi singolo dato preso isolatamente.

Quali dati sono stati esposti e perché è importante

Secondo le informazioni disponibili, il dataset trafugato include indirizzi email degli utenti, dati bancari e password protette con hashing bcrypt. Bcrypt è un algoritmo di hashing ampiamente rispettato e la sua presenza è un piccolo lato positivo: se implementato correttamente, rende le password molto più difficili da decifrare rispetto a metodi di hashing più vecchi o più deboli. Detto questo, le password con hash non sono la stessa cosa delle password crittografate. Con abbastanza tempo, potenza di calcolo e password deboli o riutilizzate da parte degli utenti, una parte di questi hash verrà prima o poi decifrata.

I dati bancari sono la preoccupazione più grande in questo caso. A differenza di una password, non è possibile reimpostare semplicemente il numero di conto bancario se compare in una violazione. A seconda di ciò che è stato esposto (numeri di conto, dettagli di pagamento o identificativi finanziari collegati), gli utenti interessati potrebbero affrontare una coda di rischi più lunga, dai tentativi di phishing mirato a tentativi di transazioni non autorizzate. Questo schema ricorda quanto accaduto nella violazione dei dati di ADT, dove le informazioni personali esposte hanno creato un'esposizione duratura per milioni di clienti molto tempo dopo che i titoli iniziali erano scomparsi.

Gli indirizzi email, nel frattempo, sono il tessuto connettivo che rende le violazioni pericolose anche a distanza di tempo. Un'email confermata e valida, legata a un account reale su una piattaforma, è oro per i truffatori che costruiscono campagne di phishing. Lo abbiamo già visto con i dati di prenotazione di viaggio trapelati che hanno alimentato un'ondata di phishing contro i viaggiatori, in cui gli aggressori hanno utilizzato informazioni reali e violate per rendere i loro messaggi molto più convincenti di una generica email truffa.

Le implicazioni per la privacy vanno oltre una singola piattaforma

È allettante considerare ogni violazione come un evento isolato, ma il vero pericolo di incidenti come la fuga di dati di Paidwork è cumulativo. Ogni dataset che finisce online diventa un altro pezzo del puzzle che gli aggressori possono combinare con informazioni rubate in precedenza. Un indirizzo email abbinato a un dato bancario parziale proveniente da una violazione, combinato con uno schema di password da un'altra, può essere sufficiente per compromettere account su servizi completamente diversi, specialmente se un utente ha riutilizzato le credenziali.

Questo ricorda anche che nessuna base di utenti è troppo piccola o troppo di nicchia per essere presa di mira. Le piattaforme della gig economy gestiscono dati finanziari sensibili per milioni di persone che potrebbero non considerarsi obiettivi di alto valore, eppure il puro volume di account rende queste piattaforme attraenti per gli aggressori, indipendentemente da chi le utilizza. Come si dice sempre più spesso negli ambienti della sicurezza, e come dimostrato anche ai massimi livelli quando l'email del direttore dell'FBI è stata hackerata, nessuno è immune solo perché pensa di non essere un bersaglio.

Cosa significa per te

Se hai o hai avuto un account Paidwork, considera questa violazione come un'esposizione confermata del tuo indirizzo email e, potenzialmente, dei tuoi dati bancari e dell'hash della password. I passi pratici sono semplici ma importanti. Cambia subito la password di Paidwork e modificala ovunque tu possa aver riutilizzato la stessa password o una simile. Attiva l'autenticazione a due fattori se la piattaforma la offre. Controlla il conto bancario e il metodo di pagamento per attività sospette e prendi in considerazione di contattare la banca se noti qualcosa di insolito.

Puoi anche verificare se il tuo indirizzo email compare in questa o in altre violazioni usando Have I Been Pwned, che è gratuito e ampiamente utilizzato proprio per questo scopo.

Consigli pratici

• Aggiorna subito la password di Paidwork ed evita di riutilizzarla su altri siti.
• Attiva l'autenticazione a due fattori ovunque sia disponibile, specialmente per gli account legati a servizi bancari o di pagamento.
• Controlla attentamente gli estratti conto bancari nelle prossime settimane per transazioni non autorizzate.
• Diffida delle email inaspettate che fanno riferimento a Paidwork, pagamenti o verifica dell'account; considerale potenziali tentativi di phishing.
• Utilizza un gestore di password per generare password uniche per ogni account, riducendo i danni che qualsiasi singola violazione può causare.

La violazione dei dati di Paidwork ci ricorda che l'esposizione dei dati finanziari non riguarda solo banche e processori di pagamento. Ogni piattaforma che gestisce pagamenti è un bersaglio, e la responsabilità di rimanere al sicuro ricade sempre più sugli utenti, che devono adottare una buona igiene delle password e restare vigili contro le truffe successive.