Una grave violazione dei dati potrebbe interessare oltre 2 miliardi di persone

Il 6 agosto 2024, una delle più grandi serie di dati personali mai trapelato ha raggiunto un forum del dark web chiamato Breachforums, libero di essere scaricato e utilizzato da chiunque. Circa 2,7 miliardi di record erano contenuti nel file, che è stato postato da un utente con il nickname Fenice. I record sono costituiti da informazioni personali fondamentali, come indirizzi, date di nascita e numeri di previdenza sociale, tra le altre cose. Secondo quanto riferito, la violazione riguarda persone negli Stati Uniti, nel Regno Unito e in Canada.

Il set di dati è stato originariamente messo in vendita nell'aprile del 2024 dall'utente USDoD, un account con presunti legami con un crimine informatico criminalità informatica. Il post pubblicizzava i dati in vendita a 3,5 milioni di dollari, ma all'inizio non sembrava suscitare alcun interesse. In breve tempo, gli utenti hanno iniziato a pubblicare gratuitamente pezzi del set di dati, fino a quando Fenice ha diffuso l'intero file. Insieme al file, Fenice ha affermato che USDoD non era effettivamente responsabile della violazione originale e che era stata perpetrata da un altro utente, SXUL.

Il file postato da Fenice pesa presumibilmente oltre 250 terabyte ed è in un formato comune che può essere aperto in Microsoft Excel, Google Sheets o altri software analoghi. Si ritiene che il file contenga informazioni su gran parte della popolazione di ciascuno dei tre Paesi citati. Dato che potrebbero esistere più record per ogni persona colpita, e che alcune persone colpite hanno già confermato che alcune informazioni non sono accurate, è difficile stabilire con esattezza quante persone potrebbero essere state colpite.

I dati sono stati raccolti da un'azienda nota come National Public Data, o NPD. Secondo quanto riferito, il modello di business dell'azienda non consiste in nient'altro che nel raschiare fonti di dati pubblici e mettere insieme i risultati. Un uomo della Florida ha intentato una causa contro l'azienda e la sta gestendo come un'azione collettiva azione collettiva da due diversi studi legali della Florida e della California.

La causa sostiene che NPD ha assunto il dovere di proteggere i dati personali quando li ha acquisiti e compilati, e ha mancato a questo dovere. Inoltre, sostiene che l'azienda ha utilizzato fonti non pubbliche, che l'hanno portata ad essere in possesso di dati su persone che non hanno acconsentito alla loro raccolta. Le accuse contro NPD includono negligenza, arricchimento senza causa e violazione del dovere fiduciario.