16 miliardi di password rubate online: cosa c’è nella fuga di dati

Una nuova e spaventosa fuga di dati ha appena infranto ogni record precedente: 16 miliardi di credenziali sono finite online, disponibili nei meandri del web e potenzialmente alla portata di chiunque. È un numero difficile anche solo da immaginare, ma rende l’idea dell’enorme rischio che oggi corrono i nostri account online.

Dietro a questa immensa raccolta ci sono i cosiddetti infostealer, software malevoli progettati per rubare dati sensibili da computer infetti. A scoprirli è stato un team di ricercatori, che ha trovato oltre 30 database sparsi per la rete contenenti combinazioni di username, password, cookie e altri elementi critici.

Il più grande data leak della storia: 16 miliardi di credenziali online

Secondo quanto scoperto dal team di Cybernews, siamo davanti a quella che potrebbe essere la più grande violazione di dati mai registrata. In totale, sono stati individuati oltre 16 miliardi di record provenienti da 30 database diversi, molti dei quali accessibili temporaneamente su server non protetti.

I dati sembrano provenire principalmente da infostealer, cioè malware in grado di raccogliere tutto ciò che un utente digita o salva sul proprio dispositivo. Questi programmi agiscono in silenzio, rubando dati da browser, applicazioni, VPN, portali aziendali e perfino dai social.

La cosa notevole è che non sembrerebbe trattarsi di vecchi dump riciclati: i ricercatori confermano che una buona parte delle informazioni è recente e strutturata, il che le rende immediatamente utilizzabili per attività criminali. Il pericolo maggiore? Le credenziali rubate possono essere usate per prendere il controllo degli account, fare furti di identità o lanciare attacchi mirati di phishing.

Cosa c’è dentro i database rubati: servizi coinvolti e rischi concreti

All’interno delle raccolte scoperte ci sono milioni di combinazioni composte da URL di login, nome utente e password. In molti casi sono presenti anche cookie, token di sessione e metadati sensibili. È proprio questa struttura a rendere il materiale così pericoloso: con le giuste informazioni, un attaccante può accedere direttamente agli account, anche bypassando l’autenticazione a due fattori.

I servizi coinvolti sono tra i più popolari: dalle pagine di accesso di Facebook, Google, Apple e Telegram, fino a portali per sviluppatori come GitHub, strumenti di comunicazione come Zoom e Twitch, e persino servizi governativi. Non si parla di un singolo attacco mirato, ma di una raccolta globale alimentata da infostealer attivi in tutto il mondo.

Va chiarito però che non c’è stata una violazione diretta dei server di queste grandi aziende. I dati sembrano essere stati raccolti da computer infettati, dove gli utenti avevano effettuato il login. Questo non rende il problema meno grave: le informazioni esistono, sono state trovate, e possono essere sfruttate da chiunque sappia dove cercarle.

Come proteggersi da infostealer e fughe di dati

Con un volume così alto di dati rubati, è normale sentirsi impotenti. Ma qualcosa si può fare. Gli esperti di Cybernews consigliano innanzitutto di adottare una buona igiene digitale.

Significa usare password forti e diverse per ogni servizio, gestite magari con un password manager affidabile.

Attivare la verifica in due passaggi (2FA) è oggi fondamentale: anche se una password viene rubata, serve un secondo codice per accedere. Ma attenzione: in alcuni casi, i cookie rubati possono permettere di bypassare il 2FA. Per questo è importante controllare regolarmente i dispositivi connessi ai propri account e sloggarsi da quelli sospetti.

Chi teme di essere stato infettato da un infostealer dovrebbe:

• Analizzare il proprio sistema con un antivirus aggiornato
• Cambiare subito tutte le password principali
• Monitorare eventuali attività insolite (accessi anomali, email di notifica sospette)
• Contattare l’assistenza dei servizi coinvolti in caso di dubbi

I dati esposti sono già finiti in mano ai ricercatori, ma è probabile che anche i cybercriminali li abbiano visti. Di fronte a numeri del genere, nessuno può sentirsi escluso dal rischio.