ShinyHunters ruba 297 GB dai sistemi HR del Consiglio d'Europa
Il Consiglio d'Europa, la principale istituzione del continente per i diritti umani, la democrazia e lo stato di diritto, è diventato l'ultima vittima di alto profilo del gruppo ransomware ShinyHunters. La violazione ha esposto 297 GB di dati sensibili delle risorse umane e delle buste paga, incluse oltre 409.000 cedolini paga e più di 14.000 CV dei dipendenti, colpendo il personale del Segretariato e della Direzione delle Risorse Umane. La violazione dei dati del Consiglio d'Europa da parte di ShinyHunters non è solo un incidente di cybersicurezza; è un netto promemoria che persino gli organismi incaricati di proteggere i diritti dei cittadini possono fallire nel proteggere i dati personali dei propri dipendenti.
Cosa è stato rubato: dentro la violazione da 297 GB di dati HR e buste paga
Secondo quanto dichiarato da ShinyHunters, il bottino di questa violazione è considerevole. Oltre 429.000 file sono stati compromessi, con dati che includono cedolini paga, CV, contratti di lavoro e documenti interni delle risorse umane. I soli cedolini paga rappresentano più di 409.000 documenti, il che significa che la violazione probabilmente riguarda una parte significativa della forza lavoro attuale e passata del Consiglio.
La sensibilità di questi dati non può essere sopravvalutata. I cedolini paga contengono in genere nomi e cognomi legali, indirizzi di residenza, codici di identificazione nazionale, coordinate bancarie, informazioni sullo stipendio e dati fiscali. I CV aggiungono un ulteriore livello di esposizione, includendo percorsi formativi, referenze personali e dettagli di precedenti impieghi. Insieme, queste informazioni forniscono ai criminali informatici tutto ciò di cui hanno bisogno per condurre campagne di phishing mirate, commettere frodi d'identità o vendere profili individuali nei mercati del dark web.
Questo tipo di attacco focalizzato sulle risorse umane è sempre più comune. La violazione del sistema HR di Statistics South Africa ha seguito uno schema sorprendentemente simile, con gli attaccanti che hanno preso di mira l'infrastruttura interna delle risorse umane per estrarre i dati dei dipendenti anziché attaccare i sistemi rivolti ai clienti.
Perché il Consiglio d'Europa è un obiettivo di alto valore per i gruppi ransomware
A prima vista, un'organizzazione intergovernativa focalizzata sui diritti umani potrebbe sembrare un insolito obiettivo di ransomware. In pratica, è eccezionalmente attraente. Il Consiglio d'Europa impiega migliaia di persone tra la sua sede di Strasburgo e molteplici uffici distaccati, il che significa che i suoi database HR sono densi di dati personali. Il prestigio istituzionale aumenta anche la leva a disposizione dei gruppi ransomware: il costo reputazionale di una violazione è più alto per un organismo il cui mandato include i diritti dei cittadini e la protezione dei dati.
ShinyHunters ha un modello ben documentato di attacchi a grandi organizzazioni visibili per massimizzare la pressione per il pagamento del riscatto. All'inizio di quest'anno, il gruppo ha lanciato un ultimatum pubblico al provider di telecomunicazioni olandese Odido. Come dettagliato nell'articolo sulla violazione dei dati di Odido che ha coinvolto 8 milioni di clienti, ShinyHunters ha minacciato di pubblicare i dati dei clienti rubati a meno che non fosse pagato un riscatto, dimostrando la propria disponibilità a usare la divulgazione pubblica come strumento di pressione. Lo stesso schema sembra essere in uso qui.
La violazione del Consiglio d'Europa segue anche un precedente attacco rivendicato da ShinyHunters all'infrastruttura cloud della Commissione europea, che avrebbe coinvolto oltre 350 GB di dati dalla piattaforma Europa.eu. Insieme, questi incidenti suggeriscono che il gruppo ha fatto delle istituzioni europee un obiettivo deliberato delle proprie operazioni nel 2025 e 2026.
L'ironia dei guardiani della privacy che non riescono a proteggere i dati personali
Il Consiglio d'Europa è l'organismo responsabile della Convenzione europea dei diritti dell'uomo e sovrintende ai quadri normativi che gli Stati membri utilizzano per disciplinare la protezione dei dati e la privacy digitale. In altre parole, è un'istituzione che stabilisce lo standard su come i dati personali dovrebbero essere gestiti e protetti. L'ironia di un'istituzione del genere che subisce una violazione di questa portata è difficile da ignorare.
Non si tratta di una tensione isolata. Le grandi istituzioni hanno spesso infrastrutture IT complesse e obsolete, relazioni estese con i fornitori e dati della forza lavoro distribuiti su decine di sistemi interconnessi. Queste realtà strutturali creano superfici di attacco che sono realmente difficili da gestire, indipendentemente da quanto forti possano essere gli impegni dichiarati dell'organizzazione in materia di privacy. La violazione dimostra che le buone intenzioni politiche non si traducono automaticamente in una buona sicurezza operativa.
Per i dipendenti coinvolti, le conseguenze sono immediate e personali. Chiunque abbia un cedolino paga o un CV tra gli oltre 429.000 file rischia ora l'esposizione dei propri dati finanziari e documenti d'identità. Le vendite sul dark web di dati HR istituzionali, come quelle osservate nell'annuncio dei dati dei clienti di Iliad Italia, tendono a seguire rapidamente le violazioni, offrendo ai criminali un mercato pronto per i dati rubati.
Come possono proteggersi le persone quando le istituzioni non sono all'altezza
Quando un datore di lavoro o un'istituzione subisce una violazione, le persone coinvolte hanno un controllo limitato su ciò che è stato rubato. Ma ci sono misure concrete che puoi adottare per limitare ulteriori esposizioni.
Controlla attentamente i tuoi conti finanziari. I dettagli bancari esposti nei cedolini paga possono essere utilizzati per frodi dirette. Imposta avvisi per transazioni insolite e valuta se un blocco temporaneo delle richieste di credito sia appropriato nella tua giurisdizione.
Fai attenzione ai tentativi di spear-phishing. Gli attaccanti che dispongono del tuo CV e del cedolino paga conoscono il tuo datore di lavoro, la fascia salariale e il titolo professionale. Possono creare email di impersonificazione molto convincenti sfruttando questo contesto. Tratta con maggiore scetticismo i messaggi inattesi che richiedono azioni o credenziali, anche se sembrano provenire da colleghi o dalle risorse umane.
Usa una VPN su reti pubbliche e condivise. Anche se una VPN non previene una violazione lato server, protegge il tuo traffico dall'intercettazione quando accedi ai portali aziendali o agli account sensibili da remoto, riducendo un vettore di furto di credenziali.
Verifica se i tuoi dati compaiono nei database delle violazioni. I servizi che monitorano i dataset di violazioni note possono avvisarti se la tua email o altri identificatori compaiono in dataset appena pubblicati.
Chiedi chiarezza al tuo datore di lavoro. Se sei un dipendente o un collaboratore del Consiglio d'Europa, insisti per ricevere comunicazioni specifiche su quali documenti sono stati coinvolti e quali rimedi vengono offerti.
Violazioni istituzionali come questa ci ricordano che l'igiene dei dati personali è più importante proprio quando le organizzazioni che detengono i tuoi dati non riescono a proteggerli. Rivedere la propria esposizione, mettere in sicurezza gli account e rimanere vigili contro l'ingegneria sociale non sono extra facoltativi; sono la risposta minima quando i dati che non hai consegnato ai criminali finiscono comunque nelle loro mani.
L'escalation degli attacchi di ShinyHunters contro le istituzioni europee suggerisce che questo gruppo non stia rallentando. Rimanere informati e adottare misure proattive per la propria sicurezza digitale è la risposta più efficace a disposizione delle persone coinvolte in questo fuoco incrociato.
