Caso Ashley Madison, allarme truffe e ricatti. E c'è una pista per il colpevole

IL GRANDE furto di dati di 32 milioni di utenti Ashley Madison ha fatto cadere la prima testa, con l'addio del CEO Noel Biderman, e sta provocando i primi danni collaterali. A scapito non solo di quegli utenti iscritti al sito di incontri extra-matrimoniali ma anche di tutti coloro che si interessano della vicenda. Gli utenti stanno ricevendo infatti mail ricattatorie che chiedono soldi (circa 200 euro, in bitcoin) con la minaccia di rivelare tutto ad amici, parenti e datori di lavoro. I ricattatori stanno confrontando i dati dell'hack con i profili Facebook per risalire alle identità di ciascuno. Altre mail chiedono invece soldi in cambio di un aiuto a eliminare il proprio nome dai dati trafugati e sono senza dubbio una truffa. I dati sono infatti ormai disponibili in molti luoghi, non solo sul dark web ma anche sulla normale internet via torrent (dove circolano diversi file, tra cui il più condiviso sembra The Complete Ashley Madison Dump from the Impact Team, da 9,69 GB, pubblicato otto giorni fa). Con i dati trafugati (nome, mail, carta di identità), inoltre, i pirati possono contattare le vittime e attaccarle in vario modo. Immaginiamo una mail in cui una finta azienda ci dice che sulla nostra carta d'identità (di cui cita le ultime cifre) c'è stato un addebito anomalo e dà un link per risolvere il problema. Leggendo quelle informazioni corrette, si è tentati a crederci; ma magari il link porta a una pagina con malware (con cui i pirati possono penetrare nel computer). O c'è un modulo in cui ci chiedono ulteriori dati, per fare un furto di identità e sostituzione di persona (vedi la nostra inchiesta). Malware si possono trovare anche sui vari siti che promettono informazioni sul caso o di fare una ricerca per scoprire se la nostra mail è presente nell'hack dei dati. Le società di antivirus stanno mettendo nella blacklist siti come ashleymadisonaccounts.com e ashleymadisonlegalaction.com. Il consiglio degli esperti è di non collegarsi a siti dedicati alla vicenda e di ignorare le mail che la citano. Intanto, procedono le investigazioni per scoprire il colpevole, cioè chi si cela dietro il nome Impact Team, che ha firmato l'attacco. Nome che non risulta conosciuto nell'ambiente, quindi potrebbe essere usato solo in questa occasione. Il giornalista investigativo Brian Krebs- il primo che ha rivelato il furto- ha una pista: il colpevole potrebbe essere l'hacker che si nasconde dietro il nome di Thadeus Zu, già autore di diversi attacchi informatici. Ha scoperto infatti che nei suoi tweet è stato tra i primissimi a rivelare i link ai dati rubati (prima che la notizia diventasse pubblica). Un altro indizio è la passione per la canzone Thunderstrock degli AC/DC, presente nei messaggi di Impact Media. Thadeus l'ha usata infatti in un paio dei propri messaggi di accompagnamento agli attacchi che ha firmato. Thadeus (di cui non si sa ancora l'identità) però nega tutto, dicendo che non ci sono prove della sua colpevolezza. Un'altra ipotesi è che il colpevole possa essere qualcuno che ha avuto accesso alle strutture tecniche di Avid Media, la società che gestisce Ashley Madison. È quanto ha lasciato intendere, in una dichiarazione, Noel Biderman, il capo di Avid Media. Ulteriori scoperte dei giorni scorsi hanno rivelato che la società aveva un approccio incoerente alla sicurezza. Se da una parte criptava le password degli utenti e teneva solo le ultime quattro cifre delle carte di credito, dall'altra non proteggeva allo stesso modo nomi e indirizzi e-mail degli utenti. Ben 765.607 password risultano inoltre non crittografate. Ancora una volta la vicenda Ashley Madison insegna una lezione che i comuni utenti internet faticano ad apprendere: è sempre rischioso affidare i nostri dati a una piattaforma online. Né è possibile fidarsi completamente delle misure di sicurezza messe in campo per proteggerli. Tra le pratiche necessarie per ridurre i rischi c'è l'uso di una password diversa per ogni sito (e magari gestirle tutte con un software password Manager). In certi casi è bene anche utilizzare mail create ad hoc (al limite con pseudonimi), per i servizi più critici per la nostra privacy. Com'era, appunto, quello offerto da Ashley Madison.