Una violazione dei dati presso Paidwork, una piattaforma che retribuisce gli utenti con piccole somme per lo svolgimento di microattività online, ha portato alla divulgazione di informazioni personali e finanziarie relative a oltre 23 milioni di utenti.
Secondo quanto riportato nei resoconti pubblici relativi alla violazione, l’intrusione è avvenuta nel marzo 2026; il database rubato è stato pubblicizzato per la prima volta su un forum dedicato alla criminalità informatica ad aprile come un dump da 11 GB che sarebbe stato sottratto dai sistemi di produzione di Paidwork.
Secondo quanto riferito, i dati trapelati includono nomi completi, indirizzi e-mail e di residenza, numeri di telefono, date di nascita, sesso, informazioni sul titolo di studio, numeri di conto corrente, registrazioni delle transazioni, informazioni sui dispositivi e sugli indirizzi IP, foto del profilo, interessi personali e password memorizzate sotto forma di hash.
Si tratta di una grande quantità di informazioni sensibili da fornire a un sito che, per molti utenti, paga solo pochi centesimi per ogni attività svolta.
Perché questo tipo di violazione è importante
Per i criminali informatici, un set di dati come questo rappresenta una miniera d’oro per il phishing mirato, l’appropriazione indebita di account e la frode d’identità. I dati bancari e la cronologia delle transazioni possono essere sfruttati direttamente, mentre la combinazione di indirizzi e-mail, hash delle password e dati personali facilita notevolmente il “credential stuffing” e l’ingegneria sociale. Anche se le password fossero state sottoposte a hash con bcrypt, quelle deboli o riutilizzate potrebbero comunque essere violate e provate altrove.
Probabilmente molti utenti di Paidwork si sono registrati utilizzando un indirizzo e-mail “usa e getta” e una password già utilizzata altrove, ritenendo che il rischio fosse basso poiché le somme in gioco erano irrisorie. Ma agli hacker non interessa quanto hai guadagnato. A loro interessa quanto possono ricavare sfruttando i tuoi dati.
Dati per pochi centesimi, rischi per anni
Più di ogni altra cosa, questa violazione ci ricorda l’importanza di riflettere con spirito critico su chi ricevono i nostri dati personali.
Prima di fornire il tuo nome completo, l'indirizzo di residenza, la data di nascita e le coordinate bancarie a un sito che paga pochi centesimi per ogni attività, chiediti se ne valga davvero la pena.
Se un servizio richiede dati sensibili, verifica quali impegni assume in materia di sicurezza e privacy, se offre un supporto adeguato in caso di violazione e se è possibile limitare i dati condivisi al minimo indispensabile. In caso di dubbio, riserva i dati di alto valore, come i dati bancari e le copie dei documenti d’identità, alle organizzazioni che ne hanno realmente bisogno e che possono essere ritenute responsabili qualora non riescano a proteggerli.
Verifica se i tuoi dati sono stati compromessi
Sebbene Paidwork non abbia ammesso pubblicamente la presunta violazione, secondo quanto riferito i dati rubati starebbero circolando negli ambienti criminali e noi li abbiamo inseriti nel nostro Digital Footprint Scanner in modo che possiate verificare se le vostre informazioni sono state compromesse.
Utilizza il nostro Digital Footprint Scanner per verificare se il tuo indirizzo e-mail compare nei dati relativi a violazioni note, compresi quelli associati a questo incidente. Se così fosse, consideralo un invito ad agire piuttosto che un motivo di panico:
- Cambia la tua password su Paidwork (se utilizzi ancora il servizio) e su qualsiasi altro account in cui hai riutilizzato la stessa password o una password simile.
- Attiva l'autenticazione a più fattori (MFA) ogni volta che è possibile, in particolare per gli account di posta elettronica, bancari e altri account importanti, e valuta la possibilità di utilizzare un gestore di password per generare e memorizzare password uniche per ogni sito.
- Controlla gli estratti conto per individuare eventuali prelievi imprevisti o attività sospette.
- Preparatevi a ricevere e-mail, SMS e telefonate di phishing. I criminali informatici possono utilizzare le informazioni trapelate per rendere le loro truffe più convincenti.
- Valuta la possibilità di avvalerti di un servizio di monitoraggio dell'identità o di protezione dal furto d'identità.
Cosa sanno di te i criminali informatici?
Utilizza la scansione gratuita Digital Footprint Malwarebytes per verificare se le tue informazioni personali sono state divulgate online.
