Sabato 3 aprile su un forum di criminali informatici è stato pubblicato, gratuitamente, un archivio con i dati di 533 milioni di utenti Facebook di 106 Paesi. L’Italia è tra i più colpiti, con oltre 35 milioni di profili: più di qualsiasi altro Paese europeo, più degli Stati Uniti.
Per ogni utente possono esserci numero di telefono e ID Facebook, nome e cognome, città attuale e di provenienza, data di nascita, datore di lavoro e, in una piccola parte dei casi, l’indirizzo email. Non ci sono password né dati di pagamento. C’è però l’associazione tra nome e numero di telefono, che è esattamente ciò che serve per una truffa su misura.
Facebook parla di dati «vecchi», raccolti nel 2019 inviando in automatico enormi elenchi di numeri alla funzione che permetteva di trovare gli amici dalla rubrica del telefono: una tecnica chiamata scraping, che l’azienda dice di aver bloccato ad agosto 2019.
Vecchi, ma non scaduti
L’archivio circolava da tempo a pagamento in ambienti ristretti; ora è alla portata di chiunque. E un numero di telefono cambia molto più raramente di una password: quello che avevi nel 2019 è con ogni probabilità quello che usi oggi. Il Garante per la privacy ha chiesto a Facebook di mettere subito a disposizione un servizio per verificare se il proprio numero è coinvolto, ha invitato a prestare attenzione a eventuali anomalie sul cellulare.
Immagina di ricevere un SMS che ti chiama per nome, sa in che città vivi e ti avvisa di un pacco in giacenza. È così che questi dati vengono usati: per rendere credibile la richiesta successiva, quella del codice o del clic. Con nome, data di nascita e numero, un criminale può anche tentare un SIM swap, cioè farsi intestare un duplicato della tua SIM e ricevere al posto tuo i codici di verifica via SMS.
Controlla con un servizio pubblico di verifica delle violazioni se il tuo numero o la tua email sono nell’archivio. Diffida di qualsiasi messaggio che ti chiami per nome e chieda un clic o un codice: le banche non chiedono codici per SMS o al telefono. Dove puoi, sostituisci la verifica via SMS con un’app di autenticazione o una chiave fisica. Infine, nelle impostazioni di Facebook, limita chi può cercarti tramite numero di telefono ed email.
