Grindr paga 30 milioni per la privacy e 220 milioni di viaggi finiscono esposti in Vietnam

🛡️ Executive Summary

• Grindr pagherà circa 30,3 milioni di euro per chiudere l’azione UK sulle pratiche privacy precedenti al 2020, senza ammettere responsabilità.
• Un database APIS collegato al Vietnam esponeva 220.783.700 record di passeggeri ed equipaggi, inclusi passaporti e dettagli dei voli dal 2017 al 2026.
• I 220 milioni sono record di viaggio, non persone uniche; non esistono inoltre prove pubbliche che soggetti criminali abbiano copiato il database.

Due casi molto diversi mostrano quanto il valore dei dati personali aumenti quando l’informazione descrive non soltanto chi è una persona, ma la sua vita reale. Grindr ha accettato di pagare 26 milioni di sterline, circa 30,3 milioni di euro, per chiudere nel Regno Unito un’azione relativa alle pratiche di trattamento precedenti al 2020, contestate anche per informazioni sensibili come lo stato HIV. In Vietnam, invece, un sistema Advance Passenger Information System, APIS, raggiungibile attraverso una catena di configurazioni errate, conteneva 220.783.700 record tra passeggeri ed equipaggi con nomi, numeri di passaporto, nazionalità e itinerari. Il primo caso arriva al conto economico dopo anni; il secondo mostra quanto possa costare una configurazione cloud sbagliata prima ancora che venga dimostrato un attacco.

Grindr chiude il contenzioso britannico con 26 milioni di sterline

La conferma più importante sul caso Grindr arriva direttamente dalla società. Nel filing 8-K depositato presso la Securities and Exchange Commission il 2 settembre Grindr dichiara di avere raggiunto un accordo relativo alla group action avviata presso la High Court of England and Wales per pratiche di trattamento dei dati risalenti al periodo precedente al 2020. L’esborso complessivo è di 26 milioni di sterline, equivalenti a circa 30,3 milioni di euro al cambio dell’8 settembre, suddivisi in due pagamenti da 13 milioni: il primo entro il 31 dicembre 2026, il secondo entro il 31 marzo 2027. L’accordo non contiene accertamenti né ammissioni di responsabilità e Grindr continua a contestare le accuse, ma riconosce il disagio e la perdita di fiducia espressi da parte degli utenti britannici. La vicenda riguarda un periodo nel quale la piattaforma era ancora controllata dal gruppo cinese Kunlun, prima della vendita del 2020 e del successivo cambio di proprietà e management.

Al centro della causa ci sono anche informazioni sullo stato HIV

La controversia britannica nasce da contestazioni particolarmente delicate perché non riguarda soltanto identificativi pubblicitari o telemetria generica. Gli utenti sostenevano che la piattaforma avesse condiviso con terze parti informazioni personali altamente sensibili, compreso in alcuni casi lo stato HIV e la data dell’ultimo test. Il precedente tecnico risale almeno al 2018, quando ricercatori di SINTEF individuarono la trasmissione di queste informazioni verso servizi come Apptimize e Localytics utilizzati nell’ottimizzazione dell’applicazione. Grindr aveva allora sostenuto che quei dati non fossero stati venduti ad advertiser e che i due fornitori li utilizzassero esclusivamente per erogare servizi alla piattaforma. Il problema giuridico resta però più ampio della vendita commerciale: quando una piattaforma tratta informazioni sulla salute, sull’orientamento sessuale e sulla vita privata, anche la condivisione con fornitori tecnici richiede finalità, basi giuridiche e trasparenza particolarmente robuste. L’Information Commissioner’s Office britannico aveva già formalmente rimproverato Grindr nel 2022 per non avere fornito agli utenti britannici informazioni privacy sufficientemente efficaci e trasparenti. Il caso dimostra perché categorie di dati come quelle sanitarie richiedano protezioni specifiche, principio che in Italia emerge anche dalla disciplina rafforzata applicata a HIV e altre informazioni particolarmente sensibili nel Fascicolo Sanitario Elettronico.

Leggi anche: ITA Airways tra sanzione privacy e data breach del programma Volare

Grindr separa le vecchie pratiche dal programma privacy attuale

La difesa societaria insiste sulla discontinuità temporale. Grindr sottolinea che le pratiche oggetto dell’accordo appartengono al periodo precedente al 2020 e che da allora il programma privacy è stato profondamente rivisto. La privacy policy attualmente in vigore descrive in modo più granulare informazioni raccolte, finalità e diritti dell’utente, mentre la società ha introdotto strumenti self-service per accesso e portabilità dei dati. Sono elementi importanti, ma non cancellano il valore del precedente: una piattaforma può cambiare proprietà, management e policy e continuare comunque a sostenere economicamente per anni le conseguenze di decisioni prese quando i dati furono originariamente raccolti. Il settlement non equivale a una condanna giudiziaria, proprio perché Grindr non ammette responsabilità, ma quantifica comunque il costo reputazionale e finanziario di una controversia costruita attorno a dati tra i più sensibili possibili. La privacy diventa quindi una passività capace di sopravvivere a management, acquisizioni e perfino quotazione in Borsa.

In Vietnam erano esposti 220.783.700 record di viaggio

Il secondo caso ha una natura completamente differente. I ricercatori di Kinryū Labs hanno individuato il 3 giugno un cluster Elasticsearch denominato pax-info, apparentemente collegato a un’organizzazione vietnamita, contenente 29 indici e circa 107 GB di dati. I due indici principali raccoglievano 210.318.069 record di passeggeri e 10.465.631 record di membri degli equipaggi, per un totale di 220.783.700 righe. È essenziale non trasformare questo numero in “220 milioni di persone”: una stessa persona può essere presente numerose volte perché ogni viaggio genera un nuovo record. I dati coprono il periodo tra gennaio 2017 e aprile 2026 e comprendono informazioni relative a compagnie aeree e viaggiatori di numerose nazionalità. In assenza, al momento della pubblicazione, di un report tecnico pubblico completo di Kinryū Labs, la ricostruzione di BleepingComputer basata sull’accesso dei ricercatori al sistema costituisce la fonte disponibile più dettagliata sull’incidente.

Passaporti, posti a sedere e bagagli rendono il dataset molto più pericoloso

Il database non conteneva soltanto nomi e indirizzi email. Tra le informazioni osservate figuravano nome, data di nascita, sesso, nazionalità, numero del passaporto o altro documento di viaggio, data di scadenza e Paese emittente. A queste informazioni personali erano collegati numero e data del volo, compagnia aerea, aeroporto di partenza, destinazione e transito, posto assegnato, riferimenti del bagaglio e orari programmati, stimati ed effettivi del volo. È esattamente il tipo di dataset che trasforma una fuga di dati in materiale di enorme valore per il social engineering. Un criminale che conosce nome, numero di passaporto, volo, aeroporto e posto può costruire una comunicazione molto più credibile di un normale phishing generico. Il rischio è analogo, ma su scala potenzialmente molto superiore, a quello osservato nel data breach Trenitalia che aveva esposto dati anagrafici e informazioni di viaggio utilizzabili per phishing mirato. In un contesto aereo si aggiungono però passaporti, collegamenti internazionali e informazioni APIS utilizzate proprio per consentire alle autorità di identificare passeggeri ed equipaggi prima dell’arrivo o della partenza.

Due configurazioni errate hanno aperto la strada al database

La modalità di accesso è particolarmente significativa perché il database non risultava banalmente aperto su Internet. L’endpoint pubblico restituiva HTTP 401 Unauthorized, suggerendo apparentemente una protezione corretta. I ricercatori hanno però individuato un secondo percorso attraverso infrastruttura cloud che consentiva di raggiungere lo stesso cluster; una volta raggiunto da quella via, Elasticsearch accettava credenziali predefinite. L’esposizione nasce quindi dalla concatenazione di due errori: un percorso alternativo verso il database e il mancato cambio delle credenziali di default. È un esempio quasi didattico di come una superficie possa apparire protetta osservando soltanto l’endpoint principale e risultare invece compromettibile attraverso una topologia cloud secondaria. La piattaforma di intelligence FOFA aveva osservato host e porta già nell’ottobre 2022, classificandoli come database nel luglio 2023, ma non è possibile stabilire da quando il secondo percorso abbia reso effettivamente accessibili i dati. Il fatto che il dataset contenga informazioni dal 2017 non significa quindi che sia rimasto esposto per nove anni.

Nessuna prova che 220 milioni di record siano stati realmente rubati

Questo è il punto sul quale occorre maggiore cautela. Esposizione non significa automaticamente esfiltrazione. Kinryū Labs non ha osservato ransom note, indici sconosciuti riconducibili ad aggressori o copie del dataset messe in vendita pubblicamente. Senza i log del server non è però possibile escludere che qualcun altro abbia raggiunto il sistema prima dei ricercatori e scaricato dati. La formulazione giornalisticamente corretta è quindi che 220,8 milioni di record erano accessibili attraverso la configurazione vulnerabile, non che 220 milioni di record siano stati necessariamente rubati. I ricercatori hanno iniziato la disclosure il 3 giugno verso autorità vietnamite, compagnie interessate e CERT nazionali; il database è stato messo in sicurezza il 8 giugno. Singapore Airlines avrebbe inoltre collaborato al coordinamento della risposta, ma la presenza dei record di una compagnia nel database non dimostra che quella compagnia gestisse il sistema né che le sue reti siano state compromesse. È la stessa distinzione necessaria quando Manchester Airports Group aveva esposto dettagli delle prenotazioni attraverso una catena collegata a credenziali API: dato presente in un sistema terzo non significa necessariamente violazione diretta dell’azienda il cui nome compare nel record.

Continua con:

• TeamSystem, Polizia e Manchester mostrano perché il perimetro cyber passa sempre più dai dati
• ACN avverte gli italiani dopo gli incidenti cyber negli aeroporti britannici

Il dato sensibile continua a produrre rischio molto dopo l’incidente

Grindr e il database APIS vietnamita non condividono responsabili, tecnologia o dinamica dell’incidente. Condividono però una caratteristica decisiva: i dati coinvolti descrivono aspetti della vita che non possono essere semplicemente cambiati come una password. Una persona può sostituire una credenziale compromessa; non può sostituire retroattivamente il proprio stato sanitario, la propria storia di viaggio, la data di nascita o gli spostamenti già effettuati. Nel caso Grindr, pratiche risalenti a prima del 2020 continuano a produrre nel 2026 un costo di oltre 30 milioni di euro. Nel caso vietnamita, informazioni raccolte quasi dieci anni fa sono rimaste concentrate in un unico sistema abbastanza ricco da ricostruire identità e spostamenti internazionali. È questo il vero elemento comune: la sicurezza non riguarda soltanto impedire che qualcuno entri in un database. Riguarda chiedersi per quanto tempo sia necessario conservare il dato, quante informazioni debbano convivere nello stesso sistema e quale danno possa produrre quella concentrazione anni dopo la raccolta.