Seguici e condividi:

Eroica Fenice

Screenshot Portale Unico Campania

Unico Campania: violato il sito del portale abbonamenti, pubblicati dati personali

Oggi 19 agosto è stata resa pubblica una “data breach” avvenuta sul sito del consorzio Unico Campania presumibilmente qualche giorno fa. È stato attaccato e violato il Portale Abbonamenti del Consorzio Unico Campania (piattaforma utilizzata per la gestione dell’abbonamento studenti gratuito, degli abbonamenti mensili e del rimborso abbonamenti legato all’emergenza Covid 19) e sono stati resi pubblici parte dei dati personali di numerosi utenti.

È stato pubblicato sullo stesso sito del consorzio Unico (violato a sua volta) un elenco in formato docx, denominato Zozazi_Italy_Combo.docx, contenente email e password degli utenti registrati al portale. Sono in circolazione più versioni del file, quella più estesa di cui si ha notizia finora è di 2770 pagine e contiene 166189 coppie email/password. Il file è stato prontamente rimosso dal sito ma è ormai in circolazione sul web. Al momento non sembrano essere stati diffusi ulteriori dati personali, anche se dalle email spesso è possibile risalire a nome e cognome degli utenti dato che molte sono del tipo [email protected].

Per chiunque abbia utilizzato sul sito di Unico Campania una coppia di email/password utilizzata anche su altri siti (ad esempio per social network, per la casella email stessa ecc.) è consigliabile cambiare immediatamente la password sugli altri siti ed attendere di poterla cambiare poi anche sul portale Unico, che attualmente sta dando problemi dato l’enorme numero di richieste contemporanee. Ne approfittiamo inoltre per un consiglio su come scegliere una password sicura.

Attacco al portale abbonamenti Unico Campania: alcuni dettagli

Vi sono poi ulteriori dettagli relativi all’attacco, rivelati da fonti anonime tra studenti universitari, cui va il nostro ringraziamento. Sembrerebbe che i dati siano aggiornati a numerosi mesi fa: alcuni studenti che avevano cambiato la password di recente, al momento di controllare l’elenco per vedere se i loro dati fossero coinvolti nella violazione, hanno scoperto che nell’elenco suddetto è riportata ancora la loro password precedente. Non è stato però finora possibile capire con precisione a quando risalirebbero i dati riportati nell’elenco.

Sembrerebbe inoltre che la violazione sia avvenuta qualche giorno fa e che sia stata resa pubblica solo oggi con la pubblicazione dell’elenco: alcuni studenti affermano di aver riscontrato nei giorni scorsi che era stato chiesto a loro insaputa il rimborso della pratica dell’abbonamento studenti gratuito, ritrovandosi così impossibilitati a richiedere il rinnovo per il nuovo anno accademico. Sembrerebbe inoltre che questo fosse stato segnalato già una settimana fa circa al Consorzio Unico, al momento però è ignoto se fossero già stati presi provvedimenti: fino a stamattina il consorzio non ha rilasciato dichiarazioni stampa e contattando il numero telefonico riportato sul sito non è stato possibile ottenere risposta.

Tornando all’attacco effettuato al sito, non sono stati resi noti i dettagli tecnici, né è stato rivendicato da alcun gruppo/individuo di hacker/cracker. È possibile solamente fare alcune ipotesi: in qualche modo potrebbe essere stato ottenuto l’accesso al database o ad un suo backup, poi le password potrebbero essere state ottenute poiché conservate in chiaro (alias non crittografate), poiché ne potrebbe essere stato effettuato l’hashing con un algoritmo insicuro (alias crittografate ma in un modo che permette di risalire alla password), oppure poiché vi potrebbe essere stato modo di accedere ai “saltutilizzati per le funzioni di hashing (alias l’algoritmo era sicuro ma era possibile accedere alle “chiavi” necessarie per risalire alle password).

Francesco Di Nucci

Fonti immagini

Copertina: Screenshot del Portale Unicocampania

Articolo: webcomic Password Strength da XKCD, di Randall Munroe, sotto licenza Creative Commons Attribution-NonCommercial 2.5

Print Friendly, PDF & Email

Leave a Reply