Data breach Luxottica: l’azienda conferma la pubblicazione online dei dati di oltre 70 milioni di clienti. I dati esfiltrati con un attacco suppy-chain
Luxottica hacked: esposti i dati di 70 milioni di clienti
La conferma arriva dalla diretta interessata, Luxottica. L’azienda italiana, leader mondiale nella produzione di occhiali da vista e da sole, ha confermato la pubblicazione dei dati riferiti ad oltre 70 milioni di clienti. Uno dei partner di Luxottica ha subito, infatti, nel 2021 un attacco informatico che ha esposto i dati dei clienti. Ora quel database è finito pubblicato e scaricabile gratuitamente su un forum di hacking.
Il 30 Aprile e il 12 maggio 2023 questo database è infatti comparso, nella sua interezza e gratuitamente scaricabile, su più siti di hacking determinando una grande circolazione dei dati.
Va detto che già nel Novembre del 2022 un membro del forum Breached (che adesso non esiste più) aveva tentato di vendere un database, risalente al 2021, contenente oltre 300 milioni di record. Questi record contenevano informazioni personali e dati sensibili di utenti e clienti Luxottica USA e Canada. Il venditore del database aveva dichiarato che l’archivio conteneva informazioni come l’indirizzo email, nome e cognome, indirizzo fisico e data di nascita degli utenti.
Il database messo in vendita su Breached nel 2022 ha creato non poca confusione con quello appena pubblicato gratuitamente: non era chiaro se quei dati provenissero da un nuovo attacco oppure dai due attacchi che l’azienda ha subito nel 2020 o, magari, da un terzo attacco non noto. I dubbi sono stati poi chiariti da Luxottica stessa, che ha datato i dati come provenienti da un attacco subito nel 2021 da un partner.
Luxottica e i data breach del 2020
Ricordiamo infatti che Luxottica, anche per il ruolo di società mondiale che ricopre, è stata più volte bersaglio dei cyber attaccanti. Nell’Agosto 2020 ha subito un data breach che ha esposto i dati personali di quasi 830.00 clienti EyeMed e Lenscrafters.
Il mese successivo, Luxottica ha subito un altro attacco informatico, ben peggiore. Sfruttando la vulnerabilità CVE-2019-19781 presente nei controller Citrix ADC, il ransomware Netfilm penetrò nei sistemi aziendali portando al blocco della produzione sia in Italia che in Cina.
Per saperne di più > Attacco ransomware contro Luxottica: interrotta produzione e logistica
Il database pubblicato recentemente proviene da un attacco del 2021
Gli esperti di Bleeping Computer hanno deciso di approfondire la vicenda e hanno chiesto delucidazioni a Luxottica e alcuni esperti di cyber security italiani. I ricercatori di sicurezza hanno verificato che il database, “pesante” circa 140GB, contiene 305 milioni di righe, 74.4 milioni di indirizzi email e 2.6 milioni di indirizzi dominio email. Hanno anche stabilito, sulla base dei record più recenti, che la data di esfiltrazione del database potrebbe essere il 16 Marzo 2021. I dati proverrebbero quindi da un data breach non divulgato in precedenza.
Luxottica ha infine confermato quanto dichiarato dai ricercatori. Alla redazione di Bleeping Computer hanno infatti confermato che i dati provengono da un attacco informatico che ha colpito i sistemi di un partner di terza parte gestore dei dati dei clienti. La società ha anche annunciato che le indagini sono ancora in corso. Tuttavia ha confermato che i dati esposti sono
- nomi completi;
- email;
- numeri di telefono;
- indirizzo fisico;
- data di nascita.
Luxottica ha anche dichiarato di aver preso coscienza del data breach subito dal partner “da un post di terze parti nel dark web nel Novembre 2022”.
Interessante quanto riportato da Troy Hunt, il ricercatore responsabile del servizio “Have I Been Pwned” (dove un utente può verificare se i propri dati sono esposti). Hunt ha verificato le corrispondenze tra il database pubblicato recentemente e i dati trapelati che già il suo servizio di verifica data breach possedeva. Ben il 74% di questi dati era già presente nel database della piattaforma che, ricordiamo, viene aggiornato con tutti i principali database circolanti nei forum di breach, su Telegram e nei vari canali noti di hacking.
New breach: Luxoticca had 77M email addresses breached via a partner in 2021. Data also included names, physical addresses, DoBs, genders and phone numbers. 74% were already in @haveibeenpwned. Read more: https://t.co/5Koup126Av
— Have I Been Pwned (@haveibeenpwned) May 19, 2023
