Se siete utenti Aruba, potete essere anche voi coinvolti nel data breach del 23 aprile. Lo sta comunicando la stessa Aruba a tutti i propri utenti: “esposti i dati anagrafici di fatturazione e quelli di login”. Ma se questi ultimi sono stati subito disabilitati, quelli anagrafici possono portare a truffe massive agli utenti coinvolti, come avvisa la società e com’è solito in tutti i casi di data breach.
Una comunicazione che, oltre ad avviare ora un allarme phishing, sta richiamando su di sé critiche di esperti privacy.
Aruba ha fatto sapere a Cybersecurity360.it che la causa è una vulnerabilità di un software di terze parti.
Indice degli argomenti
Data breach di Aruba, la comunicazione della società
La mail è stata mandata a tutti; ai soli utenti che hanno subito esposizione dei dati è stata mandata una mail specifica in cui si chiede di cambiare i dati di autenticazione.
Aruba, la nota società di hosting, esordisce nella mail dicendo di avere “bloccato un accesso non autorizzato alla rete che ospita dei nostri sistemi gestionali, ma nessun dato è stato cancellato né alterato”.
Con questo inizio di mail uno sarebbe tentato a smettere di leggere rassicurato, ma la vera notizia c’è solo alla fine.
I dati “esposti”
Si dice che i dati presenti nei sistemi interessati sono:
“quelli anagrafici di fatturazione (nome e cognome, codice fiscale, indirizzo, città, CAP, provincia, telefono, indirizzo email, indirizzo PEC) e i dati di autenticazione all’area clienti, quali login e password, queste ultime protette da crittografia forte, e comunque prontamente disabilitate, pertanto in ogni caso inutilizzabili. Non sono stati in alcun modo interessati i dati di pagamento (es. carte di credito), né i servizi dei clienti (es. hosting, cloud, email, PEC…) e tutti i dati in essi contenuti”.
La società ha informato ovviamente le forze dell’ordine ma anche il Garante per la protezione dati personali; quest’ultimo avviso conferma che i dati – nonostante l’esordio rassicurante della mail – sono stati in effetti violati.
Dati esposti, non rubati: la posizione di Aruba
Aruba ci spiega che i dati sono stati solo letti da un accesso che hanno chiuso subito. E in questi mesi di investigazioni, da aprile, non sono risultate evidenze di furto (niente su dark web, nessuna richiesta di riscatto).
La comunicazione è arrivata mesi dopo proprio per investigare sul fatto; aggiungono che non essendoci stato furto non erano tenuti a comunicarlo.
I commenti degli esperti
“Oggi come oggi se un dato è esposto è anche rubato”, dice Claudio Telmon, esperto cyber presso P4I e Clusit, “salvo incredibili botte di fortuna”.
“Se i dati sono esposti e non copiati vuol dire che i dati erano pubblicamente raggiungibili online, ma non hanno trovato evidenza di accesso”, aggiunge Alberto Pelliccione, Ceo di Reaqta. “La comunicazione però parla che i dati non sono stati impattati nella loro integrità e disponibilità, questo significa solo che non li hanno distrutti o resi indisponibili, non che non vi hanno acceduto”, aggiunge.
Che deve fare l’utente
Chi ha ricevuto solo questa mail non deve fare nulla, se non riflettere sul fatto che “purtroppo si tratta di un periodo molto particolare, nel quali gli attacchi informatici, sempre più sofisticati, sono in forte aumento e stanno colpendo globalmente aziende e organizzazioni pubbliche e private di ogni livello”, come si legge. Ecco perché nonostante “diamo grande importanza alla sicurezza informatica” e fa “ingenti investimenti in tecnologia, strumenti e organizzazione”, “non siamo riusciti a prevenire l’evento”, si legge ancora.
Questo rammarico pure conferma il data breach avvenuto.
Allerta phishing
Attenti quindi se siamo utenti Aruba alle comunicazioni arrivate o in arrivo (controlliamo anche nello spam). Possiamo forse trovare la conferma che proprio i nostri dati sono stati sottratti e che è necessario cambiare password.
Come in tutti i casi di data breach, una delle conseguenze è che si danno strumenti in più per fare phishing mirato e personalizzato grazie ai dati rubati.
Conferma al nostro giornale Salvatore Lombardo, esperto di cyber security e membro Clusit: “l’incidente potrà quasi certamente dare l’opportunità al cyber crime di sfruttare i dati esposti (nome e cognome, codice fiscale, indirizzo, città, CAP, provincia, telefono, indirizzo email, indirizzo PEC) per allestire varie forme di phishing (smishing, vishing) e attuare strategie d’ingegneria sociale contro le utenze interessate”.
“La richiesta di una risposta immediata, scadenze imminenti e minacce di disattivare un servizio sono i metodi più comuni impiegati dagli scammer per cercare di indurre gli utenti a cadere in delle trappole informatiche che imitano le comunicazioni di Aruba”.
Se siamo utenti di Aruba, attenzione quindi alle mail che sembrano provenire da Aruba (o da altri soggetti) e che sembrano conoscere molto bene la nostra persona. Ma dato che a subire data breach sono stati prima o poi quasi tutte le aziende (inclusi i big dei social), questo consiglio vale in senso universale.
Ho. Mobile conferma furto parziale di dati, cambio sim gratis: ecco che fare contro le truffe
Aruba, critiche alla comunicazione sul data breach
Ci sono dubbi, infine, sulla comunicazione di Aruba. Ne parla a Cybersecurity360.it Diego Dimalta, avvocato esperto di privacy
“Ci sono due problemi, di tempismo e trasparenza. Tempismo, perché non è accettabile che una società, dopo aver subito un data Breach lo comunichi con un ritardo di quasi tre mesi. In questi tre mesi i clienti avrebbero potuto adottare soluzioni di mitigazione dell’eventuale danno ma il ritardo di Aruba non lo ha concesso. L’altro problema è la trasparenza”.
“La comunicazione inviata, difatti, deve essere letta tra le righe. Dicono cosa non è accaduto ma sfumano su quanto è invece successo. Dicono che integrità e disponibilità non sono state intaccate, significa che invece la riservatezza è venuta meno? Allora bisognava scriverlo in modo evidente. Dicono che hanno bloccato un accesso, ma che cosa stava facendo colui che è entrato nei sistemi? Da quanto tempo il sistema era stato violato?”
Il tema del ruolo dei clienti
“Altro aspetto riguarda il ruolo dei clienti”, continua Dimalta.
“Sì perché non sempre il cliente Aruba è un semplice interessato, spesso è un titolare (e Aruba responsabile de trattamento). In casi simili allora il titolare avrebbe dovuto avviare la procedura del data breach avvisando Garante e clienti, ma con questa tarda comunicazione il rischio è che ciò non sia utile si fini della tutela degli interessati. Insomma, era da gestire meglio e più velocemente”.
—
Una precedente versione dell’articolo parlava di dati “rubati” perché di solito i dati esposti sono anche rubati, come commentano molti esperti. Abbiamo modificato recependo la posizione di Aruba
