ShinyHunters punta ai dati DMV, DoppelCart clona 119.000 negozi e Slim Spider ruba wallet

🛡️ Executive Summary

• ShinyHunters rivendica il furto di oltre 200.000 record dalla piattaforma DAVID della Florida, ma la violazione non risulta ancora confermata ufficialmente.
• DoppelCart utilizza oltre 119.000 falsi negozi per sottrarre carte, CVV, identità e persino codici OTP durante il checkout.
• Slim Spider colpisce istituzioni finanziarie brasiliane e punta direttamente a credenziali cloud, segreti di custodia crypto e sistemi Pix.

Il cybercrime finanziario mostra quattro modelli di monetizzazione differenti ma sempre più convergenti: furto di identità, clonazione industriale di negozi online, compromissione delle infrastrutture cloud finanziarie e sottrazione diretta di criptovalute. ShinyHunters sostiene di avere sottratto oltre 200.000 record dal sistema DAVID utilizzato in Florida per consultare dati di conducenti e veicoli; DoppelCart gestisce una rete di 119.000 domini fraudolenti progettati per raccogliere carte e OTP; CrowdStrike identifica nel nuovo gruppo Slim Spider un attore capace di muoversi tra cloud, Kubernetes e sistemi di custodia crypto brasiliani. Liquid Network registra invece un epilogo anomalo al drenaggio da circa 4.000 BTC: 3.400 bitcoin sono stati restituiti, mentre circa 598,5 BTC restano nelle mani dei presunti white-hat.

ShinyHunters rivendica oltre 200.000 record dal database DAVID della Florida

ShinyHunters sostiene di avere compromesso un accesso alla piattaforma DAVID, Driver And Vehicle Information Database, utilizzata in Florida per consultare informazioni su conducenti e veicoli, e di avere sottratto più di 200.000 record. Come prova, il gruppo ha mostrato alcuni dati attribuiti al sistema, compreso un record relativo a Jeffrey Epstein con indirizzi e veicoli registrati. Al momento, però, non risulta una conferma ufficiale della compromissione da parte del Florida Department of Highway Safety and Motor Vehicles, quindi la rivendicazione deve essere trattata come tale e non come breach accertato.

La sensibilità del database è comunque documentata dalla stessa amministrazione della Florida. Le policy FLHSMV definiscono DAVID come sistema riservato alle finalità autorizzate e indicano tra le informazioni protette nome, indirizzo, numero di patente, telefono, dati medici o relativi a disabilità ed emergency contact. La documentazione ufficiale FLHSMV disciplina esplicitamente l’accesso ai dati DAVID e la riservatezza dei record automobilistici. Il valore estorsivo di un’eventuale compromissione è quindi evidente: non sarebbe un semplice elenco email, ma un dataset potenzialmente utile per impersonificazione, social engineering e frodi successive. Il gruppo continua così la propria strategia basata sul furto di grandi dataset più che sulla cifratura dei sistemi. Ad agosto ShinyHunters aveva tentato di compromettere ReliaQuest attraverso vishing, falsa SSO e approvazione MFA, mentre a giugno la campagna contro Oracle PeopleSoft aveva coinvolto oltre cento organizzazioni e centinaia di migliaia di record. Il tratto comune resta l’identità: credenziali valide e piattaforme ricche di dati diventano strumenti per costruire successive campagne di estorsione.

Leggi anche: Ericsson, TriZetto e ShinyHunters mostrano l’economia dei grandi data breach nel 2026

DoppelCart industrializza il falso e-commerce con 119.000 domini

DoppelCart porta invece la frode consumer a una scala raramente osservata. La società tedesca Nebty ha identificato più di 119.000 domini collegati alla stessa infrastruttura di falsi e-commerce, dei quali oltre 105.000 risultavano ancora attivi durante le scansioni. L’analisi originaria di Nebty definisce l’operazione il più grande cluster pubblico di fake shop documentato per numero di domini: i soli indirizzi .shop riconducibili all’infrastruttura rappresentano il 2,72% dell’intero TLD analizzato, circa uno ogni 37 domini. La rete imita 44.182 marchi reali, copiandone cataloghi, immagini, descrizioni e identità visiva, e pubblicizza sconti che possono raggiungere il 65%. Il checkout raccoglie numero della carta, scadenza, CVV, nome del titolare, email, telefono e indirizzo, trasferendo i dati al backend criminale attraverso WebSocket in tempo reale. Il sistema può inoltre intercettare il codice OTP inviato dalla banca, trasformando la falsa vendita in un flusso completo per il tentativo di autorizzazione della transazione. La tecnica cambia la scala, non il principio. Le campagne pagoPA sul falso rimborso TARI raccolgono già identità completa, carta e CVV prima di tentare la monetizzazione, mentre le false multe distribuite tramite SMS ed email puntano anche ai codici di conferma bancaria. DoppelCart automatizza lo stesso modello su decine di migliaia di storefront, facendo del brand abuse una vera infrastruttura industriale.

Slim Spider entra nel cloud per arrivare alle chiavi crypto

Più sofisticato è il modello attribuito da CrowdStrike a Slim Spider, nuovo gruppo eCrime attivo contro istituzioni finanziarie brasiliane almeno da marzo 2026. Il profilo ufficiale CrowdStrike descrive un attore con conoscenza approfondita di Pix, infrastrutture finanziarie brasiliane, piattaforme di asset digitali e ambienti cloud. In un’intrusione osservata a marzo, l’obiettivo non era semplicemente sottrarre documenti. Slim Spider ha utilizzato script Bash personalizzati per interrogare instance metadata cloud, ottenere credenziali temporanee, enumerare secret manager e muoversi verso chiavi e credenziali legate alla custodia di asset digitali. Gli attaccanti hanno quindi sfruttato tool nativi dell’ecosistema Ethereum per derivare indirizzi da private key sottratte e hanno implementato operazioni crittografiche direttamente tramite OpenSSL, riducendo dipendenze esterne e potenziali indicatori. Il gruppo mostra anche capacità di movimento tra Azure DevOps, container e pipeline, evidenziando come i sistemi finanziari moderni espongano la custodia crypto attraverso la stessa infrastruttura cloud utilizzata per applicazioni e sviluppo. Il bersaglio reale diventa quindi il segreto: una password o un token permettono accesso, ma una private key può equivalere direttamente al denaro. Il fenomeno si collega alla crescita delle campagne che prendono di mira patrimoni digitali attraverso identità e social engineering, come le truffe crypto che imitano l’Agenzia delle Entrate per raccogliere informazioni su wallet ed exchange.

Liquid restituisce 3.400 BTC ma ne mancano ancora quasi 600

Il caso Liquid Network aggiunge un elemento quasi paradossale. Il 6 settembre circa 4.000 BTC erano usciti dal wallet della Liquid Federation dopo lo sfruttamento di un problema nell’ecosistema Elements, in un incidente che Matrice Digitale aveva ricostruito come un drenaggio da circa 320 milioni di dollari senza compromissione delle normali chiavi PAK. Il giorno successivo gli attori, che si erano definiti white-hat, hanno restituito 3.400 BTC, circa l’85% del totale sottratto, dopo che Blockstream aveva comunicato attraverso messaggi firmati di avere corretto i bridge node. Restano però circa 598,5 BTC, valutati nell’ordine di 47 milioni di dollari al momento degli eventi. Non è stato pubblicamente chiarito se quella somma rappresenti una bounty concordata, un importo ancora oggetto di negoziazione o denaro trattenuto unilateralmente. La distinzione è sostanziale. Un ricercatore white-hat normalmente opera entro un’autorizzazione o concorda le condizioni della disclosure; sottrarre quasi tutta la riserva di una sidechain e restituirne una parte solo dopo una trattativa on-chain rende molto più controversa l’etichetta. Liquid utilizza un peg 1:1 nel quale gli L-BTC sono normalmente sostenuti dai bitcoin detenuti dalla Federation, come specifica la documentazione tecnica ufficiale. Un errore che consenta di creare L-BTC non correttamente coperti e convertirli in BTC reali colpisce quindi direttamente il meccanismo che sostiene la fiducia economica della sidechain.

Continua con:

• Phishing e persistenza criminale: quando il dato rubato continua a produrre vittime
• FBI smantella una rete phishing da 1,7 miliardi alimentata dall’AI

Il dato rubato vale sempre di più quando porta direttamente al denaro

I quattro casi mostrano una trasformazione semplice: il cybercrime cerca percorsi sempre più corti tra compromissione e monetizzazione. Un database DMV consente di costruire identità credibili; un falso negozio trasforma direttamente la vittima in sorgente di carta e OTP; una violazione cloud in un istituto finanziario può portare alle private key; una vulnerabilità blockchain può liberare direttamente bitcoin. La tecnologia utilizzata cambia, ma l’obiettivo resta economico. Per questo la difesa non può separare rigidamente identità, cloud, pagamenti e crypto custody: sono livelli differenti della stessa catena finanziaria. Quando un record rubato può alimentare una truffa, la truffa ottenere una credenziale e la credenziale arrivare fino al denaro, il valore dell’attacco non dipende più dalla singola violazione ma da quante volte quel dato può essere monetizzato dopo essere stato sottratto.