Hackers di aver avuto accesso ai dati relativi a milioni di informatori

Milioni di segnalazioni relative a reati potrebbero essere state rese pubbliche dopo che un hacker ha affermato di aver compromesso i sistemi utilizzati dai programmi Crime Stoppers e da altre organizzazioni in tutto il mondo.

Il caso riguarda la P3 Global Intel, un’azienda con sede in Texas che fornisce software per la gestione delle segnalazioni e delle informazioni di intelligence basati sul cloud, di proprietà di Navigate360.

Gli hacktivisti, noti come «Internet Yiff Machine», hanno consegnato i dati rubati a Straight Arrow News (SAN). Secondo SAN, il gruppo ha fornito un archivio di oltre 8,3 milioni di record che sarebbero stati sottratti a P3. I dati risalirebbero a un periodo compreso tra il 1987 e il 2025 e includerebbero segnalazioni di reati inviate tramite i programmi Crime Stoppers, le forze dell'ordine, le scuole e alcuni enti del governo federale statunitense.

SAN ha dichiarato di aver verificato alcune parti del set di dati contattando le persone che hanno fornito le informazioni e i cui dati figuravano nei registri. L'archivio di fughe di notizie Distributed Denial of Secrets (DDoSecrets) ha affermato di aver ricevuto anch'esso una copia e di volerla condividere con giornalisti e ricercatori selezionati.

Se i dati sono autentici, sembrano contenere numerose informazioni personali relative alle persone accusate nelle segnalazioni, tra cui nomi, indirizzi, numeri di telefono, date di nascita, targhe, numeri di previdenza sociale e altri identificativi. Nonostante il materiale promozionale prometta agli informatori che la loro identità «rimarrà sempre anonima», SAN riferisce che nel set di dati compaiono anche i dati personali di alcuni informatori che hanno fornito tali informazioni. La cache includerebbe anche dettagli degli account utente, richieste di assistenza clienti, bollettini interni delle forze dell'ordine e ID dei messaggi non crittografati e password utilizzate dagli informatori per dare seguito alle segnalazioni.

Navigate360, la società madre di P3, non ha confermato né la violazione né l’entità dell’eventuale fuga di dati. In una dichiarazione rilasciata a SAN, l’amministratore delegato di Navigate360, JP Guilbault, ha affermato:

«Finora non abbiamo riscontrato alcun accesso o uso improprio di informazioni sensibili.»

Tuttavia, l'azienda ha incaricato un fornitore esterno specializzato in analisi forense dopo essere venuta a conoscenza di un possibile incidente di rete. A quanto pare, i sistemi di P3 rimangono operativi mentre l'indagine prosegue.

Le reazioni delle forze dell'ordine indicano che almeno alcuni utenti considerano l'incidente un rischio serio, anche in assenza di una conferma tecnica definitiva. Il Dipartimento di Polizia di Portland, che si avvale del servizio Crime Stoppers, ha pubblicamente consigliato ai residenti di «astenersi temporaneamente» dall'inviare segnalazioni tramite la piattaforma Crime Stoppers mentre la situazione è oggetto di verifica.

In una dichiarazione riportata dai media locali e nazionali, l'ufficio ha affermato di essere a conoscenza delle segnalazioni relative a una potenziale violazione dei dati presso un servizio di terze parti utilizzato per raccogliere segnalazioni anonime e che, «per motivi di estrema cautela», sta chiedendo ai membri della comunità di evitare per il momento l'uso di tale servizio. La polizia di Portland invita invece le persone disposte a fornire informazioni non anonime a contattare direttamente il dipartimento.

«Anonimo» non costituisce una garanzia tecnica

Secondo SAN, P3 potrebbe acquisire informazioni relative alle sessioni dai segnalazioni inviate tramite web e dispositivi mobili. In tal caso, le parti interessate potrebbero potenzialmente utilizzare tali dati per aiutare a identificare gli informatori anonimi, sottolineando che l’«anonimato» non è una garanzia tecnica. Sebbene nessun metodo sia infallibile, gli esperti raccomandano di seguire i seguenti passaggi quando si segnala un reato:

Utilizza un browser che garantisca la privacy e una VPN affidabile per nascondere il tuo indirizzo IP reale.
Evita di includere informazioni relative a persone che potrebbero ricondurre a te, come «il mio vicino», «il mio capo» o «il mio ex».
Se il modulo per la segnalazione richiede i dati di contatto, valuta se ti sta bene che la segnalazione non sia più anonima.
Rimuovi i metadati dai file che carichi (foto, documenti, video), poiché possono contenere coordinate GPS, ID dei dispositivi e data e ora.

Cosa fare se i tuoi dati sono stati violati

Se pensi di essere statovittima di una violazione dei dati, ecco alcuni passaggi che puoi seguire per proteggerti:

Verificate le indicazioni fornite dall'azienda.Ogni violazione è diversa, quindi verificate con l'azienda cosa è successo e seguite le indicazioni specifiche fornite.
Cambiare la password. È possibile rendere inutile ai ladri una password rubata cambiandola. Scegliete una password forte che non utilizzate per nessun altro motivo. Meglio ancora, lasciate che un gestore di password ne scelga una per voi.
Abilital'autenticazione a due fattori (2FA).Se possibile, utilizza una chiave hardware, un laptop o un telefono conforme allo standard FIDO2 come secondo fattore. Alcune forme di 2FA possono essere oggetto di phishing con la stessa facilità delle password, ma la 2FA che si basa su un dispositivo FIDO2 non può essere oggetto di phishing.
Fai attenzione agli impostori.I ladri potrebbero contattarti fingendo di essere la piattaforma violata. Controlla il sito web ufficiale per verificare se sta contattando le vittime e verifica l'identità di chiunque ti contatti utilizzando un canale di comunicazione diverso.
Prendete tempo. Gli attacchi di phishing spesso impersonano persone o marchi conosciuti e utilizzano temi che richiedono un'attenzione urgente, come mancate consegne, sospensioni di account e avvisi di sicurezza.
Valuta la possibilità di non memorizzare i dati della tua carta. È sicuramente più comodo lasciare che i siti memorizzino i dati della tua carta, ma aumenta il rischio in caso di violazione da parte del rivenditore.
Impostail monitoraggio dell'identità, che ti avvisa seletueinformazioni personalivengono scambiate illegalmente online e ti aiuta a recuperarle in seguito.