Pokémon Center colpito via CEVA, 3,6 milioni di account Azure rivendicati

🛡️ Executive Summary

• Il cyberattacco a CEVA Logistics espone dati personali e dettagli degli ordini Pokémon Center nel Regno Unito e in Germania.
• TheHatman rivendica 3,64 milioni di record Azure ed Entra appartenenti a grandi aziende, ma diverse organizzazioni contestano la compromissione.
• I dati sottratti o pubblicizzati possono alimentare spear phishing, MFA fatigue e impersonificazione di dipendenti anche quando password e carte non risultano esposte.

Pokémon Center sta notificando clienti britannici e tedeschi dopo il cyberattacco contro il partner logistico CEVA Logistics, che ha esposto informazioni personali e dettagli degli ordini e provocato anche cancellazioni e ritardi nelle consegne. Parallelamente, un attore identificato come TheHatman sostiene di avere sottratto complessivamente 3,64 milioni di record da tenant Microsoft Azure ed Entra appartenenti a grandi aziende internazionali, tra cui McDonald’s, Vodafone, Tata Consultancy Services, Kyndryl e Gap. I due casi hanno livelli di conferma molto differenti: l’incidente CEVA è riconosciuto e ha già prodotto notifiche ai clienti, mentre buona parte delle rivendicazioni Azure resta contestata o non verificata indipendentemente.

Pokémon Center viene coinvolto attraverso CEVA Logistics

L’incidente Pokémon Center nasce fuori dall’infrastruttura diretta del marchio. CEVA Logistics, utilizzata per gestire le spedizioni di PokemonCenter.com nel Regno Unito e in Germania, ha subito un cyberattacco tra la fine di luglio e l’inizio di agosto. Gli attaccanti hanno avuto accesso a server contenenti informazioni necessarie alla gestione delle consegne. Per i clienti Pokémon Center possono essere stati esposti nome completo, indirizzo postale, numero telefonico, email e contenuto dell’ordine. Le informazioni sulle carte di pagamento non risultano coinvolte perché CEVA non ne dispone per eseguire il servizio logistico. Lo stesso incidente aveva già raggiunto i clienti europei di Steam Hardware attraverso la medesima supply chain CEVA, dimostrando come la compromissione di un unico operatore logistico possa propagarsi verso marchi e comunità di clienti completamente differenti. Pokémon Center ha inoltre cancellato alcuni ordini e segnala ritardi nella lavorazione e nelle consegne, trasformando quindi il breach anche in un problema di disponibilità operativa.

I dati degli ordini rendono più credibili phishing e false consegne

L’assenza di password e carte non rende innocuo il materiale sottratto. Un criminale che conosce nome, indirizzo, numero telefonico e prodotto Pokémon realmente acquistato dispone di una base molto efficace per impersonare Pokémon Center, CEVA o un corriere. Una richiesta di pagamento per una nuova consegna, una falsa conferma dell’indirizzo o un messaggio relativo alla cancellazione di un ordine può apparire plausibile proprio perché utilizza informazioni vere. È lo stesso rischio emerso con Trezor e RingCentral dopo l’esposizione di dati personali utilizzabili per campagne di impersonificazione e con SafePal, dove quasi 40.000 clienti di hardware wallet hanno visto esposte informazioni sugli acquisti. Nel caso CEVA, la natura logistica dei dati rende particolarmente efficace proprio il phishing contestualizzato sulle spedizioni.

TheHatman rivendica 3,64 milioni di record Azure ed Entra

Il secondo caso presenta un livello di certezza molto inferiore. Dal 31 luglio, TheHatman pubblicizza database che sostiene di avere scaricato direttamente da tenant Microsoft Azure ed Entra compromettendo credenziali aziendali. Complessivamente le rivendicazioni raggiungono circa 3,64 milioni di record. Il dataset più grande sarebbe quello di McDonald’s, con oltre 1,7 milioni di record di dipendenti, seguito da Tata Consultancy Services con più di 800.000, Vodafone con oltre 425.000, HCL Technologies con 250.000, InterContinental Hotels con 185.000 e Kyndryl con circa 170.000.

I campioni pubblicizzati comprendono nomi, email, ruoli lavorativi, telefoni, indirizzi, employee ID e, in alcuni casi, service account e nominativi di global administrator. Quest’ultimo dato sarebbe particolarmente utile per costruire attacchi mirati contro le identità cloud, superficie già esposta dalle campagne AiTM contro Microsoft 365 e dagli abusi di Windows Hello su Entra ID.

TCS e Gap contestano la ricostruzione dell’attaccante

Non è però corretto trasformare l’intero dataset pubblicizzato in un breach Azure già confermato. Tata Consultancy Services afferma di non avere trovato evidenze credibili di una compromissione dei propri sistemi o degli ambienti dei clienti e sostiene che le informazioni mostrate dall’attaccante siano vecchie di almeno quattro anni e limitate a dati basilari dei dipendenti. TheHatman sostiene invece di avere utilizzato password spraying e MFA fatigue, ma TCS dichiara di disporre da più di due anni di controlli specifici contro queste tecniche. Anche Gap afferma di non avere rilevato compromissioni dei sistemi aziendali e descrive il materiale come limitato, non sensibile e risalente a diversi anni fa. Non è quindi ancora possibile stabilire se tutti i database derivino realmente da accessi recenti ai tenant Azure, da fonti precedentemente compromesse oppure da raccolte assemblate utilizzando dati storici.

Account cloud e directory aziendali hanno valore anche senza password

Anche un dump privo di password può avere un valore operativo elevato. Conoscere struttura degli indirizzi email, ruoli, amministratori, service account, numeri telefonici e domini .onmicrosoft.com permette di ricostruire la directory di un’organizzazione e selezionare gli obiettivi migliori per password spray, spear phishing, voice phishing o MFA fatigue. Le piattaforme criminali dedicate a Microsoft 365 sono ormai costruite proprio per trasformare queste informazioni preliminari in accessi persistenti: Kali365 e Greatness automatizzano il furto di token OAuth e delle sessioni Microsoft 365, mentre Pass-the-Passkey ha mostrato come una sessione Windows già compromessa possa essere utilizzata per autenticarsi verso Entra ID. Il caso TheHatman va quindi seguito soprattutto distinguendo autenticità dei dati, provenienza e reale compromissione dei tenant: tre elementi che una semplice rivendicazione criminale non consente ancora di sovrapporre.

La supply chain fisica incontra quella delle identità cloud

Pokémon Center e le rivendicazioni Azure descrivono due punti opposti della stessa superficie. Nel primo caso un’organizzazione consegna a un fornitore esterno soltanto i dati necessari a spedire un prodotto, ma la compromissione del partner li espone comunque. Nel secondo, directory e identità aziendali diventano la materia prima per tentare di conquistare servizi cloud attraverso credenziali e meccanismi di autenticazione. La supply chain non riguarda quindi soltanto software e librerie: comprende logistica, CRM, identity provider e qualsiasi soggetto al quale vengono affidati dati o privilegi. Per Pokémon Center il breach è già concreto; per i 3,64 milioni di record Azure la verifica deve invece restare aperta, soprattutto dopo le smentite di alcune delle aziende coinvolte.