MGM Resorts perde dati privati di 10,6 milioni di clienti, celebrità incluse

Catalin Cimpanu, reporter di ZDNet, è stato informato di un enorme dump di dati che è stato recentemente pubblicato su un forum di hacking. Diede un'occhiata e si rese conto che le informazioni compromesse appartenevano a persone che erano state negli hotel MGM Resorts. Con l'aiuto di un ricercatore di Under the Breach, Cimpanu ha confermato la legittimità della fuga e si è messo in contatto con la catena alberghiera. Un portavoce della MGM ha dichiarato via e-mail che le informazioni appartenevano effettivamente agli ospiti dell'hotel, ma sono stati rapidi nel sottolineare che i dettagli della carta di credito delle persone non erano coinvolti.

Alcuni di voi potrebbero pensare che ciò renda la violazione molto meno pericolosa, ma come scopriremo tra un minuto, non è proprio così. Prima di arrivare alle potenziali conseguenze, tuttavia, vediamo cosa è trapelato e chi ha avuto accesso ad esso.

Gli hacker hanno rubato le informazioni personali di oltre 10,6 milioni di ospiti dell'hotel nel 2019

Apparentemente la violazione si è verificata l'estate scorsa e, sebbene non sia stata annunciata ufficialmente, MGM ha contattato almeno alcune delle persone interessate per far loro sapere dell'incidente. Come ha osservato Cimpanu, le persone hanno discusso delle notifiche di violazione in quel momento, ma la fuga non è riuscita a ottenere alcun interesse dai media, che, considerando ciò che è nella discarica, è alquanto strano.

Durante l'attacco, gli hacker sono riusciti a decollare con i dettagli personali di 10.683.188 ospiti dell'hotel. Le informazioni trapelate includevano nomi, indirizzi di casa ed e-mail, numeri di telefono e date di nascita. Il ricercatore di Cimpanu e Under the Breach ha provato a contattare alcune persone nel database e, sebbene alcuni dei numeri di telefono non fossero più validi, gli ospiti hanno risposto e hanno detto che erano stati negli hotel MGM prima del 2018.

Celebrità, giornalisti e funzionari governativi sono stati colpiti

MGM Resorts è una massiccia catena di hotel di lusso e, alla luce di ciò, probabilmente non dovrebbe essere troppo sorprendente che, come mostra il database trapelato, alcuni nomi noti abbiano usato le sue posizioni.

Il ricercatore di Breach ha detto a ZDNet che il database contiene i dettagli dei funzionari DHS e TSA e lo stesso Cimpanu ha visto i nomi di alcuni noti giornalisti che sono stati presso le sedi MGM durante conferenze ed eventi di alto profilo. La violazione ha anche colpito la pop star Justin Bieber e il CEO di Twitter, Jack Dorsey, anche se non è noto se, come altri ospiti, siano stati informati privatamente dell'attacco.

Il danno potenziale è significativo

Inevitabilmente, vengono tracciati parallelismi tra la violazione di MGM e l'attacco del 2017 agli hotel Marriot. A circa 500 milioni, il numero di ospiti colpiti dalla fuga di Marriot è molto maggiore, ma ciò non significa che Dorsey, Bieber e il resto delle persone le cui informazioni sono nella discarica di MGM dovrebbero rilassarsi. I dati compromessi sono già nelle mani dei criminali da almeno sei mesi e ora sono disponibili per chiunque voglia scaricarli. L'assenza di dettagli della carta di credito non è un motivo per sottovalutare la violazione.

Per enfatizzare le potenziali conseguenze della fuga, Catalin Cimpanu ha condiviso i suoi pensieri su come le informazioni rubate avrebbero potuto aiutare gli hacker a compromettere l'account Twitter di Jack Dorsey. Come alcuni di voi ricorderanno, nell'agosto dell'anno scorso, i criminali hanno dirottato l'account di microblogging di Dorsey dopo aver montato un attacco di scambio SIM contro di lui e Cimpanu ipotizza che potrebbero aver recuperato il suo numero di telefono dal database di MGM. Naturalmente, questo è, nelle parole del giornalista, una "teoria stravagante" che non può essere confermata o negata, ma il fatto è che nulla al riguardo può essere classificato come "impossibile".

Oltre allo scambio di SIM, le persone colpite dalla violazione di MGM devono anche essere alla ricerca di attacchi di spear phishing mirati e, data la presenza di indirizzi di casa nel database, potrebbero anche voler pensare alla propria sicurezza fisica. Dopotutto, le informazioni sono ora pubbliche e nessuno sa chi potrebbe essere tentato dal pulsante Download.