2,7 miliardi di record di dati personali esposti in una massiccia violazione dei dati

Le organizzazioni e le aziende si stanno concentrando sempre di più sulla garanzia della sicurezza digitale, esaminando regolarmente i propri sistemi e rilevando in anticipo le vulnerabilità che potrebbero esporli a rischi per la sicurezza. Ma nonostante questi sforzi, gli attacchi di phishing sono ancora comuni e il rischio di perdite di dati è sempre presente.

È il caso di Mars Hydro, un'azienda cinese specializzata in attrezzature per la coltivazione indoor e idroponica, che ha subito una massiccia violazione dei dati. Si stima che siano trapelati fino a 2,7 miliardi di dati provenienti da un database non protetto di questa azienda. L'incidente ha reso pubblici un'enorme quantità di dati dei clienti dell'azienda, tra cui informazioni sensibili come nomi di reti Wi-Fi, password, indirizzi IP, numeri ID dei dispositivi, indirizzi e-mail e persino il tipo di telefono utilizzato dall'utente (iOS o Android).

Nello specifico, poiché il database di Mars Hydro non era protetto da password, è trapelata una grande quantità di informazioni, tra cui nomi di reti Wi-Fi (SSID) e password, indirizzi IP, indirizzi e-mail e dettagli sugli smartphone utilizzati. Ciò non solo comporta il rischio di accessi non autorizzati a dispositivi e reti, ma crea anche opportunità per i criminali informatici di monitorare le comunicazioni e prendere di mira gli utenti tramite informazioni di contatto compromesse. La fuga di dati può addirittura dare luogo ad attacchi “man-in-the-middle”, attraverso i quali è possibile manipolare il traffico tra l’utente e il dispositivo.

Tra tutte le minacce, l'attacco "man-in-the-middle" è il più pericoloso, perché le due parti coinvolte nella comunicazione saranno completamente ignare dell'intervento dell'aggressore. Ciò può persino portare alla sostituzione di persona, poiché gli aggressori possono accedere a credenziali di accesso sensibili, informazioni finanziarie e persino dati aziendali tramite intercettazioni.

Mars Hydro utilizza gli smartphone per controllare alcuni dei suoi prodotti idroponici, per questo l'azienda offre un'app mobile sia sull'App Store che sul Google Play Store. L'app supporta diverse lingue, tra cui inglese, francese, cinese e tedesco. Sebbene l'informativa sulla privacy dell'app dichiari di non raccogliere dati degli utenti, è possibile che i dispositivi IoT (Internet of Things) abbiano trasmesso informazioni quando erano connessi alla rete dell'utente, causando incidenti di perdita di dati.

Anche se al momento ci sono poche informazioni circa l'eventuale utilizzo dei dati trapelati per scopi dannosi, il rischio è sempre presente. Le aziende devono pertanto rafforzare la sicurezza dei database e aumentare la consapevolezza delle vulnerabilità dei propri sistemi.

Si consiglia agli utenti dei prodotti Mars Hydro di modificare immediatamente le password Wi-Fi, di aggiornare il software sui dispositivi connessi a Internet e di diffidare di e-mail o messaggi sospetti.