La tesi: 64 milioni di righe su un forum di dati rubati
Un gruppo di hacker ha affermato di aver rubato 64 milioni di record appartenenti ai clienti T-Mobile. La tesi risale a un rapporto di giovedì di Cybernews, che citava un set di dati non confermato offerto su un forum per violazioni di dati noto per la vendita di dati rubati. Si dice che il set contenga 64 milioni di righe di dettagli sensibili presumibilmente sottratti al secondo operatore mobile degli Stati Uniti: nomi completi, date di nascita, codici fiscali, indirizzi completi, numeri di telefono, indirizzi email, ID dei dispositivi, ID dei cookie e indirizzi IP. Il team di sicurezza di Cybernews ha anche osservato che la fuga di dati includeva elementi non rivelati in precedenti violazioni di T-Mobile, come l’incidente del 2021 per il quale l’operatore ha solo di recente iniziato a erogare i pagamenti di risarcimento.
La smentita: “inesatte” e “generate sinteticamente”
T-Mobile respinge la tesi in modo netto. “Qualsiasi rapporto su una violazione dei dati di T-Mobile è inesatto. Abbiamo esaminato i dati campione forniti e possiamo confermare che i dati non riguardano T-Mobile o i nostri clienti”, ha dichiarato un rappresentante di T-Mobile a Tom’s Guide. Lo stesso rappresentante ha descritto l’articolo originale di Cybernews come fuorviante, aggiungendo che — data la struttura del set di dati, le convenzioni di denominazione e le evidenti incoerenze — sembra essere una compilazione generata sinteticamente da dati obsoleti o non correlati, una tattica usata dagli attori malintenzionati per ingannare potenziali acquirenti.
Si tratta di una difesa più specifica di un generico nessun commento, ed è verificabile in linea di principio. È anche, per ora, una dichiarazione aziendale su un campione anziché un controllo indipendente di tutte le 64 milioni di righe.
Il terzo segnale: un database che non si è aggiornato
The Mobile Report ha evidenziato che il popolare sito di monitoraggio delle violazioni Have I Been Pwned non ha aggiornato il proprio sito per includere la presunta violazione. Quel silenzio può essere letto in due modi e non risolve nulla. Potrebbe significare che le informazioni contenute in quelle 64 milioni di righe erano già emerse in attacchi precedenti, oppure — come suggerisce T-Mobile — che sono obsolete o non correlate ai clienti dell’operatore. L’assenza di una voce non è un attestato di buona salute; è solo un’assenza.
Perché l’ambiguità è costosa in ogni caso
La natura dei dati spiega la posta in gioco. Dettagli come gli indirizzi IP possono essere usati per confezionare attacchi di spear phishing altamente mirati, mentre identificatori come nomi completi, date di nascita e codici fiscali aprono la porta alla frode finanziaria. Che il set di dati sia autentico o meno, la proposta di valore pubblicizzata agli acquirenti è reale.
Il precedente sui risarcimenti aggiunge una seconda asimmetria. I pagamenti per gli attacchi del 2021 hanno iniziato a essere erogati solo pochi mesi prima che emergesse questa tesi, il che indica che qualsiasi indennizzo legato a un nuovo incidente sarebbe molto lontano. Un’azienda può rispondere a un’accusa pubblica con una dichiarazione in un giorno; i clienti colpiti non possono risolvere la propria esposizione con gli stessi tempi.
Il verdetto che le prove supportano
Sul materiale disponibile, la smentita di T-Mobile è la ricostruzione più suffragata dell’incidente: è specifica, affronta direttamente i dati campione ed è in parte corroborata dal fatto che un importante servizio di monitoraggio delle violazioni non ha registrato la fuga di dati. Il rapporto di Cybernews, al contrario, si basa su un set di dati non confermato messo in vendita — un mercato in cui le compilazioni fabbricate o riconfezionate sono uno strumento noto.
Ma una smentita è una posizione, non una prova, e i due fatti che chiuderebbero il caso — una verifica indipendente del set di dati e un riscontro definitivo della provenienza rispetto a violazioni precedenti — non sono agli atti. La caratterizzazione corretta di questo incidente è quindi irrisolta, non confutata.
Questa è la conclusione scomoda. La sicurezza di 64 milioni di record non può essere esternalizzata a un comunicato stampa, e i consigli difensivi non cambiano con il verdetto: i servizi di protezione dal furto d’identità e il software antivirus restano da considerare già ora, proprio perché la domanda se questa violazione sia reale non ha ricevuto risposta. La risposta di T-Mobile potrebbe ancora rivelarsi del tutto corretta; finché non potrà essere verificata, ai clienti viene chiesto di accettare rassicurazioni al posto della verifica — e la rassicurazione non è mai stata la stessa cosa di una soluzione.
