😱 LINKEDIN: hackerati per quindici anni

Il 5 giugno del 2012 si verificò un attacco a LinkedIn che comportò una ferita profonda al mondo del lavoro digitale. Milioni di professionisti videro le loro credenziali esposte, manipolate e vendute nel sottobosco di internet. Purtroppo non era finita lì. La verità completa sulla vicenda sarebbe stata scoperta solo 4 anni dopo, nel 2016. Quella di oggi, più che la storia di una normale violazione informatica, è la storia dell'accanimento nei confronti di una società. Questa è l'odissea di LinkedIn. Ciao a tutti e benvenuti in questo nuovo video. La nostra storia inizia a giugno del 2012. LinkedIn era nel pieno della sua espansione, contava più di 100 milioni di utenti e stava iniziando le operazioni per quotarsi in borsa. Andava tutto alla grande, ma ogni volta che un'azienda cresce qualcuno inizia a prenderla di mira. Il 5 giugno del 2012 un utente anonimo pubblicò su un forum russo specializzato in cybercrime un file contenente circa 6 milioni e mezzo di credenziali. Queste credenziali però non erano in chiaro, non c'erano scritti nome utente e password in modo normale, ma le password erano state sottoposte a una procedura di hashing. Se avete visto il video di ieri sapete benissimo che cosa significa questo, ma Ma giusto per rinfrescarvi un po' la memoria, dire che una password è stata hashata vuol dire che è stata fatta passare attraverso un algoritmo che la modifica e la rende irriconoscibile. L'hacker che aveva messo le mani su quel database quindi non poteva usare le credenziali così come erano, doveva craccarle, doveva fare in modo di risalire dal codice hash irriconoscibile alla password originaria. Ed era per questo che aveva pubblicato il file all'interno di un forum, aveva bisogno dell'aiuto della community. Ogni hacker che si specializza nel furto di credenziali come prima cosa se crea una rainbow table. Prende una lista di password comuni come 1234, la parola password, nomi di persona e così via, e fa passare ogni voce in un algoritmo di hashing in modo da crearsi una lista di codici hash già pronti. Gli utenti della community quindi iniziarono immediatamente a lavorare sul file confrontando i codici hash del database rubato con le loro rainbow tables, cioè con le loro liste di password più comuni già hashate. Nel giro di pochissimo tempo emersero effettivamente numerose corrispondenze con delle password note, quindi con password banali, semplici, già utilizzate. E la community notò una strana coincidenza: molte password contenevano parole come lavoro, carriera, o riferimenti a profili professionali. Iniziò quindi a circolare la voce nella community che quel database fosse quello di LinkedIn. A quanto pareva, LinkedIn, una delle società più in rapida ascesa della Silicon Valley, conservava le password proteggendole con un algoritmo già ampiamente superato, ovvero l'algoritmo SHA-1. 1. Questo algoritmo era semplicemente troppo banale. Già negli anni '80 Robert Morris, l'inventore dell'hashing, aveva evidenziato che questa tecnica risolveva solo parzialmente il problema, perché gli hacker potevano appunto crearsi delle liste di codici hash già pronti delle password più comuni e trovare delle corrispondenze. Proprio per questo motivo Morris aveva inventato un'altra tecnica chiamata salting, che consiste nell'aggiungere alla password un'altra sequenza casuale di caratteri prima di passarla attraverso l'algoritmo di hashing. In pratica Se un utente usa la parola "gino" come password, il computer aggiunge automaticamente una stringa alfanumerica casuale che solo quell'utente ha. Quindi la sua password non è più "gino" ma diventa tipo "gino1hso42" e poi è questa nuova password che viene passata all'algoritmo di hash, che ovviamente restituirà un codice hash completamente diverso rispetto a quello che sarebbe stato creato con la password "gino" semplice. La tecnica del salting, inventata negli anni '80, non era applicata da LinkedIn nel 2019. 12, quando invece sarebbe stata fondamentale, perché gli utenti usavano password veramente banali e scontate come 123456 o la parola password. Pensate che oltre 2 milioni delle password rubate erano inserite nella lista delle 50 password più comuni, quindi 2 milioni di utenti avevano scelto una password che era inclusa fra le 50 più comuni, per cui sicuramente la community di hacker russi questa era riuscita a indovinarla. Ovviamente la notizia arrivò alle orecchie di LinkedIn, che decise di agire, ma evitando di dare troppo risalto alla notizia. Inviò quindi una comunicazione molto discreta rivolta solo agli utenti le cui credenziali erano in quel famoso file, quindi circa un 5% degli utenti totali, invitandoli a seguire una procedura di reset della password perché le credenziali erano state compromesse. La questione sembrava essere finita lì, ma c'era qualcosa che non tornava in questa storia apparentemente semplice. C'erano alcune domande che aleggiavano nella comunità degli esperti di sicurezza informatica. Innanzitutto, come aveva fatto l'hacker a penetrare nei sistemi di una delle aziende le tecnologie più avanzate del mondo? E soprattutto, com'era possibile che fosse riuscito a sottrarre solo una frazione così piccola del database? Non è che c'era sotto dell'altro che LinkedIn non stava dicendo? A poche settimane dall'attacco, alcuni utenti avviarono delle azioni legali contro LinkedIn. Fu depositata una class action che chiedeva 5 milioni di dollari di risarcimento per negligenza nella protezione dei dati. LinkedIn riuscì successivamente a ottenere l'archiviazione della causa, sostenendo che i querelanti non avevano in realtà subito danni, o comunque non erano non sono stati in grado di dimostrare danni concreti derivanti dalla violazione, ma la reputazione dell'azienda era stata fortemente compromessa. E non era finita qui, il vero disastro stava per manifestarsi altrove. Gli hacker iniziarono a provare le credenziali rubate da LinkedIn su altri siti e servizi, sperando che gli utenti avessero riutilizzato la stessa combinazione di username e password. Questa tecnica di attacco, chiamata credential stuffing, riempimento di credenziali, ebbe particolarmente successo su Dropbox. Nell'agosto 2012, quindi un paio di mesi dopo l'attacco a LinkedIn, Dropbox subì un'enorme violazione di dati che portò al furto di circa 68 milioni di credenziali, 10 volte tanto quelle di LinkedIn. Questo perché uno dei dipendenti di Dropbox aveva usato la stessa password sia per l'account LinkedIn, il suo account quindi personale, sia per l'account aziendale Dropbox, quello che usava per loggarsi nei sistemi di Dropbox. I criminali, dopo essere entrati nell'account di un dipendenti avevano rapidamente guadagnato accesso a un nuovo database di credenziali. Venne poi attaccata anche la società Formspring, che gestiva l'omonimo social network. L'attacco LinkedIn aveva creato un effetto domino che si estendeva ben oltre i confini della piattaforma originaria. Nel frattempo, l'FBI aveva avviato un'indagine sul primo attacco, data la vasta scala dell'incidente e la natura internazionale della vicenda. Gli agenti federali specializzati in crimini informatici sapevano che attacchi di questa portata normalmente non sono opera di singoli individui, ma di organizzazioni criminali strutturate con competenze molto sofisticate. Quello che emerse dalle indagini forensi fu un quadro inquietante di come fosse avvenuto l'attacco. Non erano state usate tecniche all'avanguardia o malware imbattibili. Il punto d'ingresso era stato molto più banale e per questo più preoccupante. L'aggressore aveva sfruttato le vulnerabilità umane con tecniche di manipolazione e ingegneria sociale. Aveva individuato un dipendente di LinkedIn con accesso alla rete interna e con delle scuse ben costruite era riuscito a ingannarlo per riuscire a entrare nel sistema aziendale. Una volta entrato nella rete di LinkedIn, l'hacker si era mosso con la pazienza di un predatore. Non si era precipitato immediatamente sui database degli utenti, ma si era concentrato sul guadagnare posizioni sempre più elevate. Il suo obiettivo era compromettere il computer di qualcuno che aveva accesso ai server che contenevano le informazioni sugli account degli utenti. Alla fine, con calma e senza fretta, era riuscito a mettere le mani sul database delle credenziali degli utenti. Gli agenti avevano capito come era stato eseguito l'attacco. Non restava che capire chi ci di dietro. L'indagine rivelò gradualmente i contorni di un'operazione molto più complessa di quanto inizialmente pensato. L'attacco a LinkedIn non era un evento isolato, ma faceva parte di una campagna coordinata di un'organizzazione che aveva preso di mira varie piattaforme digitali e che per fortuna si era lasciata dietro alcune tracce. Gli investigatori scoprirono innanzitutto che l'attacco aveva utilizzato una botnet, cioè una rete di computer infetti distribuiti in diversi paesi, ma con un centro di controllo che sembrava localizzato nell'Europa dell'Est. Era la firma caratteristica dei gruppi criminali russi specializzati in cybercrime. Quindi avevano la conferma che l'hacker che aveva pubblicato sul forum russo il database di LinkedIn era probabilmente russo a sua volta. Scoperto questo, l'FBI coinvolse le forze dell'ordine europee coordinate dall'Europol. L'obiettivo non era solo identificare i responsabili, ma capire anche le motivazioni, i metodi e soprattutto le connessioni con altri crimini informatici. Gli investigatori si concentrarono sull'analizzare il traffico di rete e monitorare le transazioni in criptovaluta, infiltrandosi anche in forum del dark web web per tracciare le attività del gruppo. Durante l'analisi, gli investigatori notarono che lo stesso indirizzo IP russo era stato utilizzato per accedere in tempi diversi a tutti e tre i servizi violati, quindi LinkedIn, Dropbox e Formspring. Inoltre, il comportamento mostrava, oltre a un livello tecnico elevato chiaramente, anche una certa coerenza nell'approccio. Il modo in cui era stato sottratto il database di Dropbox era praticamente identico al modus operandi attuato su LinkedIn. Il malintenzionato aveva preso accesso all'account di un dipendente utente. Piano piano si era fatto strada acquisendo l'accesso ad altri account con più privilegi e infine aveva messo le mani sul file. Due attacchi praticamente identici eseguiti uno dopo l'altro non potevano essere una coincidenza. Infiltrandosi nei forum del dark web in cui venivano vendute le credenziali, poi, gli investigatori notarono che alcuni dei nickname coinvolti, come ChinaBig01, Dex007 e itblackhat, erano collegati a indirizzi mail associabili a un utente che si firmava Yevgeny. Analizzando Analizzando questi pseudonimi, l'FBI risalì a un indirizzo IP usato ripetutamente, proveniente da Mosca, che in passato era stato impiegato anche per accedere ad account di social media personali, compresi Facebook e VKontakte, che sostanzialmente è il Facebook russo. Da questi dati, le forze dell'ordine furono in grado di collegare uno degli indirizzi email usati negli scambi criminali alla registrazione di un'auto BMW in Russia, intestata a un ragazzo di circa 30 anni che, guarda caso, aveva precedenti per crimini informatici. Trovarono inoltre anche delle fotografie pubblicate da ragazzo sui social network russi in cui lui ostentava auto di lusso e orologi, cosa coerente con la vita da cybercriminale. Infine venne identificato un indirizzo fisico a Mosca che combaciava con gli IP che gli agenti avevano pazientemente raccolto. Ci vollero circa 4 anni, ma nel 2016 le autorità avevano un nome: Yevgeny Nikulin. Non restava che raccogliere le ultime prove e arrestarlo. Mentre le forze dell'ordine si avvicinavano alla soluzione del caso, però scoppiò un altro scandalo. Dal 2012 al 2016 2016, la versione ufficiale di LinkedIn dell'attacco rimase quella dei 6 milioni e mezzo di account compromessi. La società aveva implementato misure di sicurezza aggiuntive, aveva cambiato le procedure di autenticazione, aveva investito in nuovi sistemi di monitoraggio, e l'incidente sembrava chiuso. Una lezione appresa e superata, finita lì. A maggio 2016 però arriva una rivelazione che mandò in pezzi il tentativo di LinkedIn di ricostruirsi un'immagine. Un hacker noto come P1ss mise in vendita su un forum del dark web quello che affermava essere il database database completo dell'attacco LinkedIn del 2012. Non si parlava però di 6 milioni e mezzo di account, il database conteneva 117 milioni di credenziali. La notizia esplose come una bomba. Improvvisamente quello che era stato presentato come un incidente limitato si rivelò essere una delle violazioni di dati più tremende della storia di internet. Non solo perché la quantità di account compromessi era praticamente il doppio rispetto all'incidente di Dropbox, che già aveva fatto scalpore, ma anche perché per 4 anni 110 milioni mila persone avevano vissuto ignare del fatto che le loro credenziali erano in circolazione. Non le avevano cambiate, avevano riutilizzato le stesse credenziali anche in altri siti, non si erano minimamente protetti. LinkedIn fu costretto chiaramente a reagire. Come prima cosa pubblicò un comunicato stampa in cui diceva che non erano stati hackerati di nuovo, ma che i nuovi dati provenivano dal vecchio furto del 2012. Dissero anche di aver provveduto a invalidare tutte le password degli account coinvolti nella nuova fuga di dati ed aver iniziato a contattare gli utenti interessati per forzare il reset delle credenziali. L'accusa principale mossa all'azienda era: ma se non eravate certi nel 2012 di quanti fossero gli account compromessi, perché non avete invalidato tutte le password anziché solo quei 6 milioni? Perché avete contattato solo quegli utenti e non tutti gli altri? LinkedIn, nel tentativo di salvare la faccia, peggiorò ulteriormente la sua situazione dichiarando che aveva voluto bilanciare la sicurezza informatica con l'usabilità per l'utente, resettando solo gli account sicuramente colpiti per non disturbare l'esperienza di tutti gli altri. Dimostrarono quindi di aver avuto il sospetto che i dati rubati non fossero solo quei 6 milioni e mezzo, ma di aver scelto deliberatamente di far finta di nulla, complice probabilmente il fatto che in quel periodo, come vi dicevo, stavano cercando di quotarsi in borsa, quindi probabilmente volevano liquidare l'incidente come qualcosa di poco conto. Gli investigatori intanto non si erano fermati. Avevano individuato un responsabile, il russo Nikulin appunto, ed erano decisi a incastrarlo. Il problema era che la Russia non era così convinta di voler collaborare con le autorità statunitensi. Per cui l'FBI aveva bisogno che il ragazzo uscisse dai confini della madrepatria. L'opportunità per arrestarlo arrivò nell'ottobre del 2016, quando l'intelligence americana scoprì che il ragazzo aveva pianificato una vacanza a Praga con la sua fidanzata. Il 5 ottobre del 2016, Nikulin fu arrestato mentre cenava in un ristorante del centro di Praga. L'operazione fu condotta con discrezione assoluta per evitare che i suoi complici venissero allertati, e solo dopo l'arresto l'FBI rivelò pubblicamente di aver catturato uno dei cybercriminali più ricercati al mondo. Ora Nikulin, arrestato a Praga, doveva essere sottoposto a processo. Sia gli Stati Uniti sia la Russia presentarono richieste di estradizione per Nikulin e iniziarono un po' a litigarselo. Strano, perché di solito vanno così d'accordo la Russia e gli Stati Uniti. Mosca sosteneva che doveva essere processato in Russia per crimini commessi contro cittadini russi. Washington insisteva che doveva invece rispondere davanti alla giustizia americana perché i crimini erano stati commessi contro aziende e cittadini statunitensi. Inizia una battaglia legale diplomatica che durò ben 2 anni. Nikulin Nikulin rimase in carcere a Praga. Intanto i suoi avvocati combattevano chiaramente contro l'estradizione e i governi dei due paesi si confrontavano nei tribunali ciechi e nei canali diplomatici. Nel luglio 2018 la Repubblica Ceca decise finalmente di estradare Nikulin negli Stati Uniti. Il processo iniziò a marzo 2020, venne interrotto per qualche mese per via della pandemia e riprese poi a luglio 2020. Nikulin si era dichiarato non colpevole per tutti i capi di accusa. Dopo 6 giorni di udienze, ascolto delle testimonianze, analisi dei documenti e dei reperti automatici, la giuria lo dichiarò colpevole per il furto di credenziali e per la diffusione e l'installazione di malware. Venne condannato a 88 mesi di carcere, circa 7 anni e mezzo. Avendo già scontato una parte della pena, fu poi rilasciato nel 2023. Ad oggi i contorni della vicenda non sono stati comunque chiariti tutti, perché come vi dicevo il sospetto era quello che si trattasse di una mega organizzazione. Hanno preso una persona unica, quindi c'è qualcosa che non torna. Difficile pensare che lui operasse da solo. Però intanto si sono fatti bastare aver trovato una persona da arrestare incarcerare e accusare di tutto. Proprio quando sembrava che LinkedIn potesse tirare finalmente un sospiro di sollievo, scoppiò l'ennesimo scandalo. Il primo allarme scattò ad aprile 2021, quando su un forum di hacker emerse un archivio contenente dati e informazioni personali di circa 500 milioni di utenti LinkedIn. A giugno 2021 un hacker noto come Tomliner pubblicizzò poi la vendita di un database ancora più ampio, sostenendo di avere informazioni su circa 700 milioni di utenti LinkedIn. A settembre 2021 Venne poi pubblicato integralmente il database, che pesava ben 187 GB. I dati questa volta non erano relativi a credenziali di accesso, ma si trattava principalmente di informazioni di profilo: nome e cognome, titolo professionale, azienda attuale, posizione geografica, e in alcuni casi c'era anche l'indirizzo email associato all'account. Stranamente però non si trattava di dati rubati, o comunque non nel senso stretto del termine. I dati erano stati raccolti tramite una tecnica chiamata scraping. Lo scraping, che non è il illegale di per sé, è effettuato tramite un programma che visita siti web pubblici e raccoglie in modo automatico le informazioni che contengono. Tomliner aveva creato un programma che visitava in modo automatico il profilo di tutti gli utenti di LinkedIn e salvava le informazioni raccolte all'interno di un database, ma si trattava comunque di informazioni che erano visibili pubblicamente. LinkedIn confermò che questa volta non vi era stata alcuna violazione dei sistemi interni e che i dati erano stati estrapolati da ciò che era visibile pubblicamente sul sito, in alcuni casi combinando questi dati con dati provenienti da altri siti web. Pur non essendo un attacco classico, questo incidente ebbe un impatto molto rilevante e danneggiò ancora una volta la reputazione dell'azienda. L'esistenza di un archivio così vasto rappresentava un rischio enorme per tutte le persone coinvolte, che si trovarono improvvisamente esposte ad attacchi di phishing e a truffe mirate che potevano essere eseguite anche in automatico. Gli attaccanti non avevano più bisogno di visitare personalmente il profilo del bersaglio per creare una truffa fatta bene, lo faceva in automatico il programma tramite le informazioni contenute nel database. Disponendo di nome, email, posizione lavorativa e altri dettagli professionali e personali di un individuo, i criminali potevano creare programmi che creassero e inviassero automaticamente email ingannevoli molto credibili, fingendosi colleghi o aziende interessate ad assumere quella persona. LinkedIn stessa riconobbe che sebbene fossero dati per lo più pubblici, il fatto che fossero aggregati in blocco e includessero anche i contatti email rappresentava una vera e propria miniera d'oro di informazioni per attori malintenzionati. Ma Almeno era finita lì, no? E invece no. Nel giugno 2023 si verificò un ulteriore caso di data scraping ai danni di LinkedIn. Un utente anonimo su un forum di hacking mise in vendita un database che, da quello che diceva, conteneva i dati di 35 milioni di account LinkedIn Premium ottenuti con tecniche simili a quelle adottate nel 2021. Tuttavia, l'esperto Troy Hunt, il fondatore di Have I Been Pwned, uno dei siti più importanti relativi ai data breach, esaminò un campione dei dati e concluse che almeno per una parte si trattava in realtà di informazioni già pubbliche provenienti dalle violazioni precedenti e combinate con dati falsi o comunque provenienti da altri siti. I dati effettivamente nuovi riguardavano circa 20 milioni di utenti, che comunque non sono pochi. L'incidente del 2023 confermava la persistenza degli scraper nel tentare di eludere le difese della società. Nonostante LinkedIn avesse implementato delle tecniche di rilevamento anche abbastanza sofisticate, i malintenzionati continuavano a migliorare i loro metodi per raccogliere dati in massa. Negli ultimi 2 anni, fino quindi al 2025, il povero LinkedIn è stato lasciato in pace. Ha migliorato molto la propria sicurezza già dopo l'attacco del 2012, tanto che effettivamente dal 2012 ad oggi violazioni vere e proprie non ne ha più avute. Gli attacchi sono stati per lo più alla sua credibilità. Se ci pensiamo, d'altronde, 2012 attacco vero e proprio, e ok. Nel 2016 sono stati diffusi dati in realtà già rubati in precedenza. Nel 2021 e nel 2023 sono stati semplicemente aggregati dei dati che erano disponibili pubblicamente. Quindi attacchi, violazioni vere e proprie, non non ne ha avuti. Comunque, ancora oggi, anche grazie all'acquisizione da parte di Microsoft, LinkedIn continua ad aggiornare le proprie politiche di sicurezza implementando misure sempre più sofisticate. Anche questa alla fine è la riconferma di quello che diceva il grande Kevin Mitnick, cioè che la sicurezza informatica non è un prodotto, è un processo continuo, perché col migliorare delle strategie difensive migliorano anche le tecniche d'attacco. Quindi bisogna essere sempre un passo avanti e aggiornarsi continuamente. Bene, come sempre spero che il video vi sia piaciuto. Fatemi sapere nei commenti se conoscevate questa vicenda, o se addirittura il vostro account era fra quelli violati. Noi ci rivediamo al prossimo video.