Tre milioni di falsi dati di clienti in vendita a 250 dollari
Su un forum di hacker nel dark web, qualcuno mette in vendita 3,45 milioni di presunti dati di clienti di Digitec Galaxus. Per 250 dollari. Ma la provenienza dei dati è completamente inventata.
Un logo, un prezzo, un contatto per eventuali domande: l'annuncio sul dark web assomiglia a una qualsiasi inserzione su una piattaforma online come eBay, Ricardo o Tutti. Solo che qui non si vende una macchina da caffè usata. In vendita ci sono 3,45 milioni di contatti di clienti, presumibilmente di Galaxus e Digitec. Il prezzo? 250 dollari, da pagare in criptovaluta.
A segnalarci l'offerta è stato David Capela di Hackstle, un'azienda specializzata in sicurezza informatica che scandaglia i forum alla ricerca di dati aziendali rubati. Capela ha contattato un collega del nostro team Security con un messaggio privato su LinkedIn. Lo stesso giorno abbiamo avviato un'indagine interna: ogni volta che qualcuno segnala un possibile problema di sicurezza, un team specifico esamina la segnalazione e decide come procedere.
L'insider che non è mai esistito
Capela si è finto un potenziale acquirente e ha chiesto al venditore, tramite una chat su Telegram e usando il gergo dei forum del dark web, da dove provenissero i dati. La risposta non si è fatta attendere: grazie a un insider, sarebbero riusciti ad accedere a un'interfaccia per sviluppatori e i dati sarebbero aggiornati fino al settembre 2026. Alla domanda su quale fosse il database interessato, il venditore ha precisato: un database centrale interno contenente i dati di clienti.
Una storia convincente, si potrebbe pensare. Peccato che ci sia un problema: è verificabile.
Cosa rivela il campione di dati
Per rendere più appetibile l'offerta, il venditore ha pubblicato online un campione, ovvero alcune righe del presunto database. Vi figurano nomi, indirizzi e-mail e postali, numeri cliente e importi complessivi degli acquisti effettuati negli ultimi dodici mesi. Dal confronto con i nostri sistemi è emerso rapidamente che le informazioni sono completamente inventate: «Non abbiamo trovato una sola corrispondenza con i nostri dati per quanto riguarda i numeri cliente, le date di registrazione e i dati degli ordini», afferma Martin Wrona, Security Engineer presso Digitec Galaxus.
Sono soprattutto i dettagli a smascherare la falsificazione. Secondo il campione, nel giugno 2026 qualcuno avrebbe fatto recapitare un ordine presso un punto di ritiro Migros PickMup. Peccato che non offriamo più questa opzione di consegna dal 2024. Il presunto ordine sarebbe quindi passato attraverso un canale che all'epoca non esisteva più. Anche le categorie di prodotti non tornano: nel documento compaiono denominazioni come «Casa e giardino» o «Computer e notebook», mentre le nostre categorie hanno nomi diversi. Al team di Martin è bastata quindi appena un'ora e mezza dal momento della segnalazione per escludere il problema.
«A chi non conosce i nostri sistemi, questi dati possono sembrare plausibili», spiega Martin. «Ma appena si passa a informazioni che soltanto noi possiamo possedere, non torna più nulla». Non si tratta quindi in alcun modo di dati esportati dal nostro database clienti. «Per le nostre clienti e i nostri clienti non è dunque necessario intraprendere alcuna azione immediata».
Nel campione, tuttavia, compaiono alcuni indirizzi e-mail registrati anche da noi. Un dettaglio che a prima vista può sembrare allarmante, ma che assume tutt'altro significato se si considerano le proporzioni: negli ultimi 25 anni, su Galaxus e Digitec sono stati creati oltre cinque milioni di conti cliente. «Non mi sorprende che alcuni di questi indirizzi figurino anche nei nostri archivi», afferma Martin. «Probabilmente si tratta di una raccolta di indirizzi svizzeri provenienti da vecchie fughe di dati, arricchita con informazioni inventate che potrebbero sembrare provenire dai nostri sistemi».
Questo genere di elenchi può risultare comunque utile per i criminali. Per inviare messaggi di phishing molto convincenti basta una lista di veri indirizzi e-mail svizzeri. Non servono né numeri cliente né cronologie degli ordini. «È per questo che mettiamo regolarmente in guardia la nostra clientela da queste truffe», spiega Martin.
Un marchio famoso vende meglio
Ma perché questi presunti hacker associano i loro dati proprio al nostro nome? «Un pacchetto di dati ha bisogno di un marchio, altrimenti è difficile da vendere», spiega Martin. Un elenco associato a un nome famoso è molto più appetibile di uno proveniente da tanti piccoli negozi online o assemblato a partire da vecchie fughe di dati.
Questo episodio si aggiunge a una serie di casi analoghi che hanno coinvolto noti marchi svizzeri. All'inizio di settembre, un pacchetto di dati attribuito a Comparis e contenente 190 000 contatti si è rivelato falso. In precedenza, era successa la stessa cosa con un presunto elenco di 2,8 milioni di clienti Betty Bossi. «I truffatori si truffano a vicenda: è sempre andata così da quando esiste internet», commenta Martin. Poiché i dati non provengono da Digitec Galaxus, non procederemo con una denuncia né con una segnalazione all'Ufficio federale della cibersicurezza.
Per chi preferisce la versione breve: Digitec Galaxus non ha subito alcun incidente informatico né alcuna fuga di dati. Quello che viene messo in vendita sul forum di hacker non ha nulla a che vedere con noi.
Presso Digitec Galaxus sono responsabile per lo scambio di informazioni con giornalisti e blogger. Le buone storie sono la mia passione; per questo mi tengo sempre aggiornato.
Novità sulle funzionalità del negozio, informazioni dal marketing o dalla logistica e molto altro ancora.
Visualizza tutti
