La cyber gang Alpha Team l’autore dell’attacco, che ora sul profilo social di Bernardi ha pubblicato una serie di email con relative password in chiaro di alcuni associati. Aggiornamento al 16 novembre: Alpha Team decide di non mettere più in vendita i dati.

Defacing ai danni del sito web di Federprivacy, associazione italiana di professionisti della privacy e della protezione dei dati, ed è stato ‘hackerato’ anche il profilo Linkedin del presidente Nicola Bernardi. Gli autori del cyberattacco è la gang Alpha Team, che sul profilo social di Bernardi ha pubblicato una serie di email con relative password in chiaro di alcuni associati. “L’attacco è partito dai miei profili social”, ha fatto poi sapere Bernardi.

Ecco come appariva il sito di Federprivacy il giorno dell’attacco informatico. Il 16 novembre è tornato disponibile.

Sempre sul profilo LinkedIn del presidente di Federprivacy, gli attaccanti hanno risposto ai commenti degli utenti e hanno pubblicato nuovi post. Come questo in cui si spiega il motivo del cyberattacco e la non volontà di pubblicare tutti i dati a condizione che si arrivi a “un accordo che soddisfi entrambe le parti”.

Il messaggio del leader di Alpha Team sul profilo del Presidente di Federprivacy

“Questo è il messaggio che avevamo lasciato…volevamo solo parlare con lui. “”inviato a Nicola Bernardi e Magda Todor”

Caro Nicola Bernardi, sono Z0RG e sono il leader dell’Alpha Team.

Abbiamo trovato alcune grosse falle in Federprivacy.org e siamo entrati nel portale per fare una copia di tutti i vostri dati.

1 * Una copia del database: “h633171_Sql1032290_1” e “h633171_Sql1032290_1”.
2 * Un backup completo del vostro server: 195.231.70.156
3 * Backup completo degli indirizzi e-mail: “e-mail ricevute + inviate” per tutti gli indirizzi e-mail di federprivacy.org.
4 * La modifica delle password degli indirizzi e-mail “Just as proof of access”.
5 * La modifica della password di “X + instagram + linkedin + zoom…” “Come prova di accesso”.

Lo facciamo perché è impensabile che chi protegge i dati degli altri non protegga i propri.

Non vogliamo rendere pubblica l’enorme quantità di dati che vi appartengono e che ora sono in nostro possesso, né venderli alla concorrenza, né utilizzare i vostri profili social e le vostre e-mail per danneggiare altri.

Vogliamo invece che la questione sia risolta nel modo più discreto possibile, in modo che, una volta soddisfatte le nostre richieste, possiamo cancellare tutto ciò che è in nostro possesso e inviarvi un rapporto contenente tutte le vulnerabilità che abbiamo scoperto nel vostro sistema, in modo che possano essere corrette.

Ovviamente, per farlo, vorremmo parlare con lei e trovare un accordo che soddisfi entrambe le parti.

Se siete d’accordo, rispondete a questo messaggio e discuteremo civilmente.

Non vogliamo davvero rivelare tutto e dare una cattiva immagine di voi in Italia. Perché sarà difficile per i vostri clienti fidarsi di nuovo di voi.

Ci affidiamo alla vostra saggezza”.

Aggiornamento al 16 novembre. Alpha Team decide di non mettere più in vendita i dati, con questa motivazione: “Dato l’impatto che avrà su molti professionisti in Italia, questo database e tutti gli altri contenuti non sono più in vendita”

Aggiornamento al 17 novembre. Federprivacy diffonde la prima nota del presidente, dopo il data breach. Zero scuse. “Non abbiamo niente da rimproverarci“

A 4 giorni dal data breach, sul sito di Federprivacy è stata pubblicata la nota del suo presidente Nicola Bernardi. Ecco alcuni passaggi.

“…questa volta è toccato a Federprivacy, coinvolgendo l’intera categoria degli addetti ai lavori composta da Data Protection Officer, Privacy Officer, Security Manager, giuristi, e tutti gli altri professionisti che sono iscritti alla nostra associazione, compresi purtroppo i nostri 2.500 soci membri, e questo mi dispiace enormemente”.

“Tra coloro che sono stati colpiti dal recente attacco hacker sferrato a Federprivacy ci sono naturalmente anch’io, e vi assicuro che posso capire la frustrazione e il risentimento di ciascuno dei nostri 26.000 utenti che nella loro vita si occupano proprio di tutelare i dati”.

Il punto più discutibile è il seguente: “Devo confessare però, che per le misure di sicurezza adottate finora, non abbiamo niente da rimproverarci, perché anche se in tutti questi anni Federprivacy è cresciuta molto acquisendo una notevole autorevolezza nel panorama italiano, e abbiamo sempre investito denaro e risorse per la cybersecurity, d’altra parte dobbiamo avere la consapevolezza che rimaniamo sempre e comunque un’associazione non profit da cui non sarebbe ragionevole aspettarsi o pretendere gli stessi livelli di sicurezza che invece devono garantire enti governativi e multinazionali che hanno ben altri budget e standard di sicurezza proporzionati alla tipologia di informazioni dei dati che gestiscono.

Chiunque possiede un minimo di competenze informatiche ed è onesto intellettualmente sa che la stragrande maggioranza dei siti delle piccole e medie organizzazioni sono sviluppati con dei CMS, e non può negare che un attacco hacker come quello che ha colpito Federprivacy potrebbe colpire qualunque altra associazione non lucrativa italiana che si occupa di privacy e sicurezza informatica”.

Leggi su X i commenti di esperti di privacy alla nota del presidente di Federprivacy.

Defacing, che cos’è?

Con il termine Defacing (in italiano con defacciare) si intende la modifica illecita della home page di un sito web (la sua “faccia”) o la sostituzione di una o più pagine interne. Questo tipo di attacco è illegale in tutti i Paesi del mondo.

Perché è rilevante?

Un sito che è stato oggetto di un deface vede sostituita la propria pagina principale e/o altre pagine interne con una schermata che indica l’azione compiuta da uno o più cracker. Di conseguenza questo attacco, oltre a comportare potenzialmente l’interruzione di uno o più servizi, può creare danni all’immagine di una società o ente pubblico.