Un altro log SunCloudNew Stealer emerge con 5.829 record

Un nuovo stealer log legato al dataset SunCloudNew ha esposto 5.829 record contenenti password in chiaro, indirizzi email e URL di accesso associati, secondo la società di threat intelligence HEROIC. Il team di monitoraggio delle violazioni DarkHive dell'azienda ha identificato l'esposizione e offre uno strumento di scansione gratuito che verifica i dati personali rispetto a oltre 400 miliardi di record compromessi raccolti da violazioni e log di malware.

Non è la prima esposizione legata a SunCloudNew a emergere negli ultimi mesi. Log di stealer simili con la stessa convenzione di denominazione sono apparsi ripetutamente nel corso del 2026, con conteggi di record che vanno da poco più di 3.000 a oltre 17.000 in incidenti precedenti. La ricorrenza di questo schema di denominazione suggerisce un'operazione malware attiva o un gruppo di attori delle minacce che raccoglie e ridistribuisce continuamente credenziali rubate, piuttosto che una singola fuga di dati isolata.

Che cos'è realmente uno stealer log

A differenza di una tradizionale violazione dei dati, in cui gli aggressori si infiltrano nei server di un'azienda ed estraggono un database, uno stealer log proviene da qualcosa di più personale: malware installato direttamente sul dispositivo della vittima. Il malware che ruba informazioni, spesso chiamato infostealer, raccoglie silenziosamente le password salvate, i dati di compilazione automatica del browser, i cookie di sessione e persino le credenziali dei portafogli di criptovaluta da un computer infetto, quindi invia tali informazioni all'aggressore.

Il file risultante, noto come stealer log, è generalmente organizzato in base all'URL del sito a cui appartiene una password, abbinato all'indirizzo email e alla password in chiaro corrispondenti. Questi log vengono spesso caricati su mercati clandestini o, sempre più spesso, condivisi gratuitamente su canali Telegram dove i criminali informatici scambiano dati rubati. Il log SunCloudNew corrisponde strettamente a questo schema: i rapporti lo descrivono come un file caricato da un utente Telegram, contenente endpoint, indirizzi email, informazioni sull'host API e password, tutte in chiaro.

Ciò che rende i log di stealer particolarmente pericolosi rispetto alle violazioni di vecchio stile è che le credenziali sono aggiornate e non crittografate al momento del furto. Non c'è alcun algoritmo di hashing da decifrare né alcun salt da aggirare. Se le tue credenziali compaiono in uno di questi log, un aggressore ha già esattamente ciò di cui ha bisogno per accedere.

Perché le password in chiaro sono un problema più grande di quanto sembri

Con 5.829 record, questa particolare esposizione è più piccola di alcuni log collegati a SunCloudNew identificati all'inizio dell'anno, ma la scala non è l'unico fattore rilevante in questo caso. Poiché il malware cattura tutto ciò che il browser aveva salvato al momento dell'infezione, un singolo dispositivo infetto può produrre credenziali per decine di servizi non correlati: portali bancari, email di lavoro, social media e siti di shopping, tutti raggruppati nello stesso file.

Questo effetto di raggruppamento è esattamente il motivo per cui il riutilizzo delle password rimane un rischio così persistente. Se uno degli account esposti condivide una password con un account email, un servizio finanziario o un accesso aziendale, gli aggressori possono passare da una singola credenziale rubata a una compromissione molto più ampia attraverso semplici tentativi ed errori, una tecnica nota come credential stuffing.

Cosa significa questo per te

Se il tuo indirizzo email compare in uno stealer log come questo, di solito significa che il malware era presente su un dispositivo che hai utilizzato a un certo punto, non necessariamente che un'azienda di cui ti fidi sia stata violata. Questa distinzione è importante perché la soluzione è diversa: cambiare una password dopo una violazione aziendale risolve un singolo account, ma pulire un dispositivo infetto e ruotare ogni password salvata su di esso affronta la vera fonte della fuga di dati.

La risposta pratica è la stessa, indipendentemente dallo stealer log in cui compaiono i tuoi dati. Esegui la tua email attraverso uno strumento affidabile di verifica delle violazioni, come lo scanner gratuito che HEROIC ha reso disponibile per questa esposizione, per vedere se le tue informazioni sono tra i 5.829 record o tra i miliardi di altri in circolazione. Se ottieni un riscontro, considera compromessa ogni password salvata nel browser in quel periodo, non solo quella segnalata.

Consigli pratici

  • Verifica il tuo indirizzo email con lo scanner gratuito di HEROIC o con un altro database di violazioni affidabile per vedere se fai parte di questa esposizione.
  • Se sei interessato, cambia immediatamente la password, non solo per l'account segnalato, ma per qualsiasi altro servizio in cui l'hai riutilizzata.
  • Esegui una scansione antivirus e anti-malware completa su qualsiasi dispositivo in cui salvi le password nel browser, poiché i log di stealer provengono da macchine infette, non da siti web compromessi.
  • Passa a un gestore di password dedicato invece di affidarti alle password salvate nel browser, che sono un bersaglio primario per i malware infostealer.
  • Attiva l'autenticazione a due fattori ovunque sia offerta, in particolare su account email, bancari e di lavoro, in modo che una password rubata da sola non sia sufficiente per ottenere l'accesso.

I log di stealer come l'esposizione SunCloudNew ci ricordano che il furto di credenziali inizia sempre più spesso sui dispositivi personali anziché sui server aziendali. Stare al passo significa considerare l'igiene delle password e la sicurezza dei dispositivi come abitudini costanti, non come soluzioni una tantum dopo una notizia.