Anatomia breșei
Într-un exemplu tulburător despre cum furtul vechilor credențiale poate transforma infrastructura digitală cotidiană într-o armă, două adrese de email universitare, implicate într-un val masiv de amenințări cu bombă la adresa a mii de școli italiene, figurau de mai bine de un an în log-urile infostealer-elor. Cercetătorii de la Hudson Rock, care au investigat originea acestor mesaje, au descoperit că ambele conturi — unul aparținând Universității Kafrelsheikh din Egipt, iar celălalt Universității Dayeh din Taiwan — fuseseră compromise cu mult timp înainte de a fi folosite pentru a semăna panică în Europa.
Datele aferente contului egiptean au fost sustrase de Vidar, un malware omniprezent specializat în extragerea parolelor și credențialelor salvate din sistemele infectate; această expunere datează încă din octombrie 2021. Între timp, contul din Taiwan a fost identificat în vastul depozit de date „AlienTXTBASE”, o arhivă ce conține peste 284 de milioane de înregistrări, colectate până în februarie 2025. Aceste descoperiri subliniază o lacună majoră în securitatea organizațională: eșecul de a roti periodic credențialele și de a monitoriza scurgerile de date de pe dark web care vizează angajații sau studenții, chiar și în cazul conturilor considerate cu prioritate scăzută.
Amploarea perturbărilor
Între 11 și 12 noiembrie, campania coordonată a vizat un număr impresionant de 6.300 de școli de stat din Italia, provocând evacuări în masă și punând sub presiune resursele de urgență. Mesajele, care utilizau un limbaj violent ce făcea referire la genocid și explozibili detonați de la distanță, erau semnate de o figură fictivă care pretindea că se află la conducerea „Vilayat of Misoginistan”. Deși autoritățile, inclusiv premierul italian Giorgia Meloni, au catalogat rapid amenințările drept farse, impactul social a fost imediat. Dincolo de granițele Italiei, haosul s-a propagat în Franța, Irlanda, Irlanda de Nord și Scoția, ducând la închiderea școlilor, întreruperea emisiunilor la posturi media precum RTÉ și chiar la amenințări asupra serviciilor feroviare internaționale, cum ar fi Eurostar.
Metodologia sugerează un efort sofisticat de a crea dezordine. Utilizarea unor adrese de email instituționale (universitare) oferă o aură de legitimitate care ajută la ocolirea filtrelor antispam elementare și amplifică impactul psihologic asupra publicului. Prin vizarea acestor conturi, atacatorii au transformat, în mod eficient, infrastructura universităților într-o platformă de război psihologic, forțând națiunile să mobilizeze forțe de poliție, avioane de vânătoare pentru escorte aeriene și echipe de intervenție rapidă pentru a răspunde unor amenințări care, în final, nu aveau niciun fundament real.
De ce este important
Acest incident servește drept un avertisment dur pentru organizații cu privire la persistența credențialelor scurse în mediul online. În peisajul actual al amenințărilor, o parolă furată în 2021 rămâne un vector viabil pentru un atac cibernetic în 2026, dacă nu sunt luate măsuri proactive. Comunitatea de securitate subliniază faptul că, datorită inteligenței moderne împotriva amenințărilor, log-urile infostealer-elor sunt foarte vizibile; prin urmare, fereastra de expunere a acestor două universități reprezintă un eșec în identificarea și neutralizarea riscurilor cunoscute.
- Igienă digitală: Organizațiile trebuie să trateze expunerea credențialelor în log-urile infostealer drept o urgență imediată, impunând schimbarea parolelor și re-autentificarea obligatorie.
- Dincolo de frauda financiară: Deși companiile monitorizează adesea furtul direct de date, acest eveniment demonstrează că și conturile „obișnuite” pot fi deturnate pentru a orchestra farse publice masive, capabile să destabilizeze siguranța cetățenilor.
- Provocări de verificare: Identificarea certă a faptului că expeditorul a utilizat efectiv parola furată sau a recurs doar la spoofing (falsificarea identității adresei) rămâne dificilă, subliniind necesitatea unei analize avansate a header-elor și a unui audit riguros al email-urilor în timpul răspunsului la incidente.
Cercetătorii au notat că, deși nu au putut confirma dacă atacatorii au accesat efectiv conturile folosind aceste credențiale specifice, disponibilitatea adreselor de email în baze de date publice a oferit o cale clară de acțiune. Pe măsură ce ancheta continuă, evenimentul întărește necesitatea adoptării unei abordări de tip „zero-trust” pentru email-urile instituționale, unde chiar și conturile afiliate universităților trebuie supuse unor log-uri de audit stricte și unor proceduri proactive de monitorizare a amenințărilor, pentru a preveni transformarea lor în instrumente de destabilizare globală.
