Società specializzata nella sicurezza web compromette la privacy di 100mila utenti

MILANO - I clienti acquistavano su internet prodotti per la sicurezza informatica da una società apprezzata da molte aziende ed enti governativi di alto profilo ma era lo stesso fornitore a compromettere la sicurezza degli acquirenti.

Questa paradossale violazione è stata scoperta dai ricercatori del team di vpnMentor. La SSL247, azienda con sede a Londra presente in 14 mercati internazionali, inclusa Italia, si presenta come “leader in Europa per la consulenza sulla sicurezza web”, e vanta clienti multinazionali, come Casio, Motorola, JP Morgan, Yamaha, Siemens, ThyssenKrupp e Sega, enti governativi come l’Unesco, il governo dell'Ontario (Canada), l’Università di Cambridge, il Dipartimento dell'agricoltura degli Stati Uniti.

Assenza di misure di sicurezza adeguate

Stando a quanto riferisce vpnMentor, questa vulnerabiltà avrebbe potuto essere evitata se fossero state adottate misure di sicurezza basilari e certificati SSL (Secure Sockets Layer) che servono a proteggere le comunicazioni via internet. Questi accorgimenti avrebbero assicurato che le informazioni sensibili fornite dagli utenti sul web (come password, dati personali e numeri di carte di credito) rimanessero riservate.

Nel complesso, erano circa 465.000 i file potenzialmente accessibili da chiunque, tra cui figuravano fatture, ordini di acquisto, elenchi clienti in formato csv e altri documenti amministrativi, ma anche numerosi dati personali identificativi dei clienti quali nomi completi, indirizzi email, recapiti telefonici, indirizzi personali ed aziendali, e foto caricate sul profilo.

I file sono stati rinvenuti in un bucket di un cloud Amazon Web Services S3 che non era stato configurato correttamente, esponendo così file privati appartenenti all'azienda, molti di questi contenenti dati personali e informazioni dettagliate su circa 100.000 clienti che acquistavano prodotti per la sicurezza dalla SSL247 e che sono adesso esposti a potenziali rischi di frodi online e attacchi hacker.

Oltre ad aver messo a rischio i dati di migliaia di persone, le informazioni esposte sul cloud contenevano anche file relativi ad operazioni interne di natura finanziaria, attività di marketing aziendale, e tutto ciò danneggia la credibilità della SSL247 come leader del settore sulla tutela della privacy su internet.