ShinyHunters colpisce ADT e Rockstar: analisi della doppia violazione

ShinyHunters rivendica violazioni ad ADT e Rockstar Games. Analisi tecnica degli attacchi: vishing su SSO Okta vs compromissione token Snowflake.

Contenuto

ShinyHunters colpisce ADT e Rockstar: analisi della doppia violazione

Scopri anche

ShinyHunters colpisce ADT e Rockstar: analisi della doppia violazione

Nell'arco di poche settimane, il gruppo cybercriminale ShinyHunters ha rivendicato il furto di oltre 78 milioni di record sensibili da Rockstar Games e una violazione ai danni di ADT, colpendo due vittime di alto profilo attraverso vettori d'attacco completamente diversi ma ugualmente efficaci. La contemporaneità delle violazioni evidenzia una minaccia fluida e adattabile, capace di passare dall'ingegneria sociale alla compromissione di infrastrutture cloud SaaS con disinvoltura.

La violazione dati ADT: accesso tramite vishing e compromissione SSO

ADT ha confermato ufficialmente la violazione dei dati avvenuta nell'aprile 2026, dopo aver rilevato un accesso non autorizzato ai propri sistemi il 20 aprile. Secondo quanto emerso dalle indagini, l'attacco non ha sfruttato vulnerabilità software, ma il fattore umano. ShinyHunters ha orchestrato una campagna di vishing (voice phishing) mirata, convincendo un dipendente a fornire le credenziali di accesso o a compiere azioni compromettenti.

Il vettore d'attacco ha preso di mira l'SSO (Single Sign-On) gestito tramite Okta. Una volta ottenuto l'accesso tramite le credenziali del dipendente, gli aggressori hanno violato l'autenticazione e sono penetrati negli ambienti aziendali, con un focus specifico sulla piattaforma Salesforce. Questo modus operandi conferma la tendenza dei criminali informatici a bypassare le difese perimetrali concentrandosi sugli account utente, spesso l'anello debole della catena di sicurezza.

Secondo le dichiarazioni ufficiali di ADT, la natura delle informazioni rubate è varia ma potenzialmente sensibile. La maggior parte dei dati riguardava nomi, numeri di telefono e indirizzi fisici dei clienti. Tuttavia, un sottoinsieme di record conteneva anche date di nascita e le ultime quattro cifre del Social Security Number (SSN) o del Tax ID. Sebbene ADT abbia specificato che i dati rubati erano limitati principalmente a queste informazioni, la presenza di identificativi fiscali parziali aumenta il rischio di frodi per i soggetti coinvolti.

Rockstar Games: più di 78 milioni di record e la falla nella supply chain

In parallelo all'attacco ad ADT, ShinyHunters ha rivendicato un'altra massiccia operazione contro Rockstar Games, con l'esfiltrazione di più di 78 milioni di record. Diversamente dal caso ADT, qui il vettore non è stato l'ingegneria sociale diretta, ma la compromissione di un fornitore terzo. L'attacco ha sfruttato Anodot, una piattaforma di monitoraggio cloud e analisi dei costi, come punto d'ingresso per accedere alle istanze Snowflake di Rockstar Games.

Questo episodio si inserisce in una campagna più ampia che ha preso di mira la piattaforma Snowflake, mettendo a rischio oltre 400 aziende secondo fonti del settore. Gli aggressori sono riusciti a sottrarre token di autenticazione dagli ambienti Anodot, utilizzandoli per accedere ai dati ospitati su Snowflake senza dover superare direttamente i sistemi di sicurezza della casa di sviluppo.

Rockstar Games ha minimizzato l'impatto operativo, dichiarando che si tratta di una quantità limitata di informazioni aziendali non materiali. I dati rubati consisterebbero principalmente in telemetria interna e analytics, escludendo informazioni personali dei giocatori o asset di gioco non pubblicati. Nonostante le rassicurazioni, la portata del numero di record suggerisce un volume di dati di telemetria esteso, comprensivo di log e metriche di sistema.

SSO Okta vs Token Cloud: il confronto tecnico tra i due vettori

La "doppia guerra" portata avanti da ShinyHunters nello stesso mese offre uno spunto di riflessione tecnica cruciale per i responsabili della sicurezza: la versatilità delle minacce moderne. Nel caso di ADT, l'attacco ha sfruttato una vulnerabilità umana (vishing) per compromettere un sistema di gestione delle identità (Okta). La protezione offerta dall'SSO è stata annullata dalla compromissione delle credenziali di un singolo utente, dimostrando che l'autenticazione forte da sola non è sufficiente se l'utente viene manipolato socialmente.

Al contrario, l'attacco a Rockstar Games rappresenta un classico esempio di rischio nella supply chain SaaS. Anodot, in quanto fornitore di servizi, possedeva token di sessione o credenziali di servizio per interfacciarsi con i dati del cliente (Rockstar) su Snowflake. La violazione del fornitore ha permesso agli hacker di muoversi lateralmente verso l'ambiente del cliente senza mai toccare le credenziali dei dipendenti di Rockstar. Questo approccio bypassa le difese perimetrali del bersaglio finale, colpendo un anello intermedio spesso meno monitorato.

Impatti e considerazioni sulla gestione dei dati

La divergenza nei tipi di dati rubati è significativa. Per ADT, la violazione impatta direttamente la privacy dei consumatori, con dati PII (Personally Identifiable Information) a rischio di utilizzo per furto d'identità o truffe mirate. Per Rockstar, l'impatto è più industriale, riguardando dati operativi e di telemetria che, sebbene meno sensibili dal punto di vista privacy, possono offrire vantaggi competitivi o insight operativi a terzi.

La tempistica degli eventi è stata rapida: ADT ha rilevato l'intrusione il 20 aprile e concluso l'accesso non autorizzato, mentre la minaccia di pubblicazione dei dati di Rockstar è emersa intorno al 14 aprile. ShinyHunters ha mantenuto una pressione costante, dimostrando capacità operative sincronizzate su più fronti.

Domande frequenti

Quali dati sono stati rubati nella violazione ADT?
Sono stati rubati principalmente nomi, numeri di telefono e indirizzi. Un sottoinsieme di record includeva date di nascita e le ultime quattro cifre del SSN o Tax ID.
Come hanno fatto gli hacker ad accedere ai sistemi Rockstar Games?
L'accesso è avvenuto tramite la compromissione di Anodot, un fornitore terzo, che ha permesso di utilizzare token rubati per accedere alle istanze Snowflake di Rockstar.
Qual è la differenza tra i due attacchi di ShinyHunters?
L'attacco ADT ha usato il vishing per compromettere l'SSO di un dipendente, mentre l'attacco Rockstar ha sfruttato la compromissione di un fornitore SaaS (supply chain) per rubare token di sessione.

Questo articolo è una sintesi basata esclusivamente sulle fonti elencate.

Sul tema

Fonti

Link utili

Apri l'articolo su DeafNews