Trezor, IDScan e Surfshark: breach e phishing mostrano il valore dei dati rubati

🛡️ Executive Summary

• Trezor conferma che il breach di Brevo ha esposto circa 347.000 indirizzi newsletter a una campagna di phishing mirata ai wallet backup.
• IDScan ammette un accesso non autorizzato al proprio cloud dopo la comparsa di oltre 153 milioni di scansioni di patenti sul mercato criminale Nexus.
• Surfshark conferma la compromissione di server interni di test, mentre negli USA un membro di Conti viene condannato a quattro anni di carcere.

Trezor, IDScan e Surfshark mostrano tre modi diversi in cui una compromissione può produrre valore criminale anche senza arrivare immediatamente alla cifratura dei sistemi. Nel caso di Trezor, l’accesso al provider Brevo è stato utilizzato direttamente per distribuire phishing a circa 347.000 indirizzi attraverso un canale apparentemente legittimo. IDScan ha invece confermato un accesso non autorizzato ai dati conservati nel proprio cloud dopo che un servizio criminale aveva pubblicizzato oltre 153 milioni di scansioni di patenti. Surfshark ha riconosciuto l’accesso a server interni di test e a un proxy isolato, pur escludendo un impatto sui dati degli utenti. In parallelo, negli Stati Uniti arriva una nuova condanna legata a Conti ransomware, una delle operazioni estorsive più prolifiche degli ultimi anni.

Trezor: il breach di Brevo raggiunge 347.000 indirizzi

L’incidente più immediatamente pericoloso per gli utenti riguarda Trezor. Il produttore di hardware wallet ha confermato che il 9 settembre 2026 un attore non autorizzato ha compromesso Brevo, piattaforma terza utilizzata per le campagne newsletter, ottenendo accesso a numerosi account cliente. Secondo l’analisi pubblicata direttamente da Trezor, l’incidente ha coinvolto circa 347.000 indirizzi email appartenenti al database opt-in delle newsletter. Gli attaccanti hanno utilizzato l’account compromesso per inviare un messaggio intitolato “Critical Security Alert: STM32 Entropy Vulnerability”, costruito per convincere i destinatari dell’esistenza di un problema critico nei microcontrollori dei wallet. Il link conduceva al download di un’applicazione che chiedeva di inserire il wallet backup, cioè esattamente il segreto che consente di ricostruire e svuotare un portafoglio.

Trezor precisa che nessun wallet, account o altro sistema aziendale è stato compromesso e che Brevo non conservava password o dati dei portafogli. Il problema è però il canale di fiducia: il phishing partiva da un’infrastruttura realmente utilizzata dal produttore, rendendo il messaggio molto più credibile rispetto alla normale imitazione di un dominio. Il dominio malevolo è stato disattivato a livello DNS entro circa 20 minuti, ma nel frattempo circa 2.500 persone avevano già cliccato il collegamento. Trezor afferma che il semplice clic non esponeva i fondi: il rischio concreto riguarda chi ha inserito online il proprio backup, per il quale la raccomandazione è trasferire immediatamente gli asset su un nuovo wallet.

Il caso arriva inoltre a poche settimane da un altro incidente Trezor collegato al provider logistico ShipMonk, che ha portato a circa 81.000 il numero degli utenti coinvolti e ha mostrato quanto la superficie di rischio di un prodotto hardware possa estendersi molto oltre il dispositivo fisico.

Il phishing riutilizza la fiducia più che la vulnerabilità tecnica

L’attacco contro Trezor è particolarmente efficace perché utilizza una narrativa tecnica plausibile. Non serve violare il firmware del wallet quando è possibile convincere l’utente che il wallet sia vulnerabile e spingerlo a consegnare volontariamente il backup. La tecnica rappresenta bene quella forma di persistenza criminale già osservata nelle campagne in cui dati sottratti durante un breach vengono riutilizzati successivamente per phishing e impersonificazione. Il passaggio dal furto iniziale alla monetizzazione successiva dei clienti è diventato uno dei modelli più redditizi del cybercrime: email autentiche, informazioni sugli acquisti o sulla relazione commerciale riducono drasticamente gli elementi che normalmente aiutano a riconoscere una truffa.

Leggi anche: Falso Portale dell’Automobilista sale su Google e ruba i dati della patente

IDScan conferma l’accesso al cloud dopo il caso delle 153 milioni di patenti

Il caso IDScan.net cambia invece stato rispetto ai primi giorni di settembre. La società di verifica dell’identità ha ora confermato di aver rilevato un accesso non autorizzato a informazioni conservate negli account cliente sul proprio cloud. L’azienda dichiara di essere venuta a conoscenza della possibile compromissione intorno al 1° settembre e di aver avviato verifiche con specialisti esterni e autorità federali. Le informazioni potenzialmente accessibili comprendono nomi completi, numeri di patente e altri identificativi governativi. La conferma è significativa perché il caso era inizialmente emerso attraverso il servizio criminale Nexus, che pubblicizzava accesso a oltre 153 milioni di scansioni di patenti statunitensi e canadesi, oltre a circa 10 milioni di carte d’identità, 3 milioni di documenti di viaggio e 579.000 tessere sanitarie. L’FBI ha aperto un’indagine e diversi campioni erano stati verificati collegandoli a operazioni reali effettuate presso aziende che utilizzano IDScan. Tuttavia, la distinzione resta necessaria: IDScan ha confermato la violazione, ma non ha validato pubblicamente l’intera quantità di 153 milioni di documenti attribuita al database Nexus. Quel numero resta legato al materiale pubblicizzato e alle verifiche indipendenti disponibili, non a un conteggio forense definitivo dell’azienda. La differenza rispetto a un normale furto di credenziali è rilevante. Una password compromessa può essere sostituita; una scansione completa di una patente, con fotografia, numero e altri elementi identificativi, resta utilizzabile per tentativi di impersonificazione e frode per anni. Il caso rafforza quindi il problema già emerso nella precedente analisi di Trezor, Mathspace e IDScan: raccogliere documenti per verificare l’identità crea inevitabilmente una seconda superficie di rischio quando quelle copie vengono conservate centralmente.

Surfshark compromessa nei sistemi di test ma esclude impatti sugli utenti

Surfshark affronta un incidente tecnicamente molto diverso. Il provider VPN ha pubblicato un rapporto sull’accaduto spiegando che un errore umano aveva reso raggiungibile da Internet un server interno utilizzato dagli sviluppatori per i test. L’azienda ha rilevato attività sospetta il 31 agosto, ha classificato definitivamente l’evento come incidente il 2 settembre e ha completato le principali operazioni di remediation entro il 5 settembre. L’attaccante ha avuto accesso a materiale tecnico interno, comprese porzioni di binari, configurazioni di alcuni servizi e credenziali legate ai processi di build che in alcuni momenti erano state inserite nella cronologia del codice. L’accesso ha interessato anche un server separato utilizzato come proxy per ottimizzare l’accessibilità ai contenuti. Secondo Surfshark, nessuno dei due sistemi conteneva identità degli utenti, indirizzi IP, chiavi di cifratura o traffico di navigazione e non esistono evidenze di propagazione verso l’infrastruttura VPN di produzione. La società ha comunque revocato o ruotato tutti i segreti potenzialmente coinvolti e ha deciso di applicare agli ambienti di test controlli più vicini a quelli utilizzati in produzione. È una decisione che evidenzia il punto debole dell’incidente: non la compromissione del servizio VPN, che al momento non risulta avvenuta, ma la tradizionale differenza di hardening tra production e development environment.

Conti: quattro anni a un membro della gang dopo oltre mille vittime

Mentre i tre incidenti mostrano le diverse fasi del ciclo di compromissione e monetizzazione, negli Stati Uniti arriva anche una conseguenza giudiziaria di lungo periodo. Il Department of Justice ha annunciato la condanna a quattro anni di carcere di Oleksii Oleksiyovych Lytvynenko, cittadino ucraino di 44 anni, per associazione finalizzata alla frode telematica nell’ambito dell’operazione Conti ransomware. Lytvynenko aveva ammesso di essere entrato nella cospirazione almeno dal settembre 2021 e di aver lavorato allo sviluppo di un loader utilizzato dal gruppo, oltre a essere stato in possesso di dati rubati a otto vittime statunitensi e quattro straniere. Secondo il DOJ, Conti ha colpito oltre 1.000 vittime in 47 Stati USA, 31 Paesi stranieri, Washington D.C. e Porto Rico, generando almeno 150 milioni di dollari in pagamenti di riscatti entro gennaio 2022. Il dato chiarisce perché le indagini ransomware continuino per anni anche dopo la scomparsa apparente di una gang. La struttura RaaS distribuisce ruoli, infrastrutture, negoziazioni e sviluppo tra numerose persone, ma proprio questa frammentazione permette alle autorità di ricostruire progressivamente singole responsabilità. L’evoluzione industriale delle gang ransomware rende il fenomeno resiliente, ma produce anche una quantità di relazioni operative, flussi economici e tracce digitali che possono sopravvivere al brand criminale.

Continua con:

• TeamSystem, data breach su Contabilità in Cloud: esfiltrati IBAN e movimenti
• Aur0ra usa Cursor per violare sette aziende: l’agente AI accelera il ransomware

Il dato rubato conserva valore molto più a lungo dell’incidente

I quattro sviluppi mostrano soprattutto che il confine tra data breach, phishing e cybercrime organizzato è sempre meno netto. Surfshark ha contenuto un accesso che, sulla base delle evidenze pubbliche, non ha raggiunto i dati dei clienti. IDScan affronta il problema opposto: documenti d’identità potenzialmente riutilizzabili per anni dopo la loro acquisizione. Trezor dimostra come una violazione di un fornitore terzo possa trasformare un normale indirizzo email in un vettore estremamente credibile per rubare direttamente criptovalute. Conti rappresenta infine la fase industrializzata dello stesso principio: accesso, furto di dati, pressione sulla vittima e monetizzazione. Per le aziende la conseguenza è che la risposta a un incidente non può fermarsi al ripristino dei sistemi. Il vero perimetro da proteggere comprende anche ciò che l’