Il data breach che di recente ha coinvolto Facebook Inc. non può non destare preoccupazione. Le informazioni personali di oltre 533 milioni di utenti di Facebook, infatti, sono state sottratte e divulgate gratuitamente su un noto forum di hacker, esponendo i proprietari dei dati a notevoli pericoli.
In ogni caso, la società di Zuckerberg si è difesa rimarcando come il data breach non sia riconducibile ad asserite falle nella sicurezza dei loro sistemi ma ad uno scraping di dati pubblici risalente al 2019 ed attuato tramite modalità succesivamente bloccate proprio per impedire un evento simile.
La portata del data breach
I dati sottratti e illecitamente divulgati appartengono a 533.313.128 utenti di Facebook. Se si considera che nel 2021 il social media è arrivato a contare oltre 2,74 miliardi di utenti attivi nel mondo (fonte: Rapporto “Digital2021” di We are social), il numero degli interessati dal data breach – corrispondente a circa il 20% degli utenti mondiali – appare considerevole. L’Italia, poi – con 35.677,323 informazioni personali pubblicate (in pratica circa il 90% degli account Facebook italiani) – rientra nella top five dei Paesi maggiormente colpiti dal data breach:
| Paesi | N. utenti | |
| 1 | Egitto | 44.823,457 |
| 2 | Tunisia | 39.526,412 |
| 3 | Italia | 35.677,323 |
| 4 | Stati Uniti | 32.315,282 |
| 5 | Arabia Saudita | 28.804,686 |
I dati pubblicati
Per ciascun utente risultano essere stati divulgati i seguenti dati:
- Numero di cellulare
- Nome e Cognome
- Sesso
- Città e provincia di nascita
- Data di nascita (formato data + ora, anche se non visibile sul profilo FB)
- Attività lavorativa e relazioni sentimentali (“relationship status”)
- UID Facebook (codice numerico del profilo Facebook).
Dalle verifiche effettuate, tuttavia, emerge come il data breach abbia interessato marginalmente gli indirizzi email degli utenti e non abbia riguardato alcun tipo di password.
I pericoli del data breach
Perchè il data breach di Facebook desta così tanta preoccupazione? La ragione dell’allarme è piuttosto banale. I dati sottratti sono ormai di dominio pubblico, in quanto disponibili gratuitamente e dunque scaricabili da qualsiasi utente della rete. Il forum hacker dove è stato messo in vendita il database sottratto a Facebook, infatti, non si trova del Dark Web, ma in un sito ricercabile mediante un comune motore di ricerca.
Ad oggi, il database viene venduto sul summenzionato forum per otto “crediti” del sito pari a circa 2,19 dollari. E chiunque potrebbe utilizzare i dati per compiere attività di phishing mirato o “spear phishing”.
L’intervento del Garante privacy a tutela dei dati degli utenti italiani
Con riferimento ai dati di circa 36 milioni italiani disponibili online a seguito di una violazione dei sistemi di Facebook, il Garante per la protezione dei dati personali ha chiesto al social network di rendere immediatamente disponibile un servizio che consenta a tutti gli utenti italiani di verificare se la propria numerazione telefonica o il proprio indirizzo mail siano stati interessati dalla violazione.
In caso affermativo, infatti, il numero di telefono potrebbe essere utilizzato per una serie di condotte illecite, che vanno da chiamate e messaggi indesiderati sino a serie minacce come il cosiddetto “SIM swapping”, una tecnica di attacco che consente di avere accesso al numero di telefono del legittimo proprietario e violare determinate tipologie di servizi online che usano proprio il numero di telefono come sistema di autenticazione
L’Autorità, inoltre, ha suggerito a tutti gli utenti interessati dalla violazione di prestare, nelle prossime settimane, particolare attenzione a eventuali anomalie connesse alla propria utenza telefonica: come, ad esempio, l’improvvisa assenza di campo in luoghi dove normalmente il cellulare ha una buona ricezione. Un tale evento potrebbe essere il segnale che un criminale si è impossessato del nostro numero di telefono per usarlo a scopo fraudolento.
E’ stata, infine, richiamata l’attenzione di tutti gli utenti sull’importanza di diffidare di eventuali messaggi di testo provenienti dal numero di telefono di persone conosciute con i quali vengano chiesti soldi, aiuto o dati personali, perché potrebbe trattarsi di una truffa azionata dai malintenzionati che si sono impossessati del numero di telefono.
Di seguito il link al sito del Garante privacy italiano che riporta alla comunicazione per esteso: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9572143
