Quasi 71 milioni di indirizzi e-mail e password rubati circolano in rete da almeno 4 mesi

Have I Been Pwned, il servizio per il controllo di account compromessi gestito dal ricercatore di sicurezza Troy Hunt, si è arricchito di circa 71 milioni di indirizzi e-mail facenti parte del dataset Naz.API, un'enorme raccolta di 1 miliardo di credenziali compilata utilizzando elenchi disponibili online frutto di violazioni precedenti e dati sottratti da malware di tipo infostealer. 

Naz.API è in circolazione da diversi mesi tra le realtà criminali del web, ma la sua notorietà si deve all'utilizzo per alimentare una piattaforma di intelligence open source nota con il nome di illicit.services, che permette ai visitatori di effettuare ricerche in un database di informazioni rubate contenente dati sensibili come nomi, numeri di telefono indirizzi e-mail e altri dati personali.

Uno screenshot del dataset Naz.API - Fonte: Troy Hunt

Il servizio è stato chiuso a luglio del 2023, per poi venire riaperto nel mese di settembre. I dati raccolti da illicit.services provengono da varie fonti, tra le quali quella più ricca è proprio il dataset Naz.API. Ogni riga presente in Naz.API è formata da un URL di accesso, il relativo nome utente e una password associata.

Hunt ha aggiunto il set di dati Naz.API al servizio Have I Been Pwned dopo averlo ricevuto da una "nota" azienda tecnologica. Si tratterebbe di un insieme di 319 file per un totale di 104GB di informazioni, contenente oltre 70 milioni di indirizzi e-mail univoci. Tuttavia ciascun indirizzo email potrebbe essere oggetto di più furti di credenziali ed associato a diverse password, a seconda dei servizi da cui sono stati rubate le informazioni. All'interno del dataset vi sarebbero dati risalenti ad oltre 13 anni fa, e lo stesso Hunt ha affermato di aver trovato una sua password che utilizzava nel 2011.

Come di consueto per verificare se qualcuna delle nostre credenziali si trova all'interno del dataset Naz.API è sufficiente inserire su Have I Been Pwned l'indirizzo e-mail che si desidera controllare. Nel caso in cui la verifica dovesse malauguratamente dare esito positivo, il suggerimento è quello di armarsi di pazienza e operare un esteso aggiornamento delle password su tutti i propri account: Naz.API è stato popolato anche tramite malware infostealer, che rubano informazioni in maniera indiscriminata.