888 rivendica un attacco informatico ai danni di BMW Hong Kong. Database scaricabile nelle underground

Marco Mazzola : 10 Settembre 2024 07:31

In data 3/9/24 sul celebre forum “Breached” è comparso un post dove il Threat Actors 888 mette in vendita un database con diverse informazioni sui proprietari dei veicoli estratti da BMW Hong Kong,.

Secondo 888, sarebbe la seconda esfiltrazione, ora più completa con dati riguardanti account del proprietario, nomi, dettagli di contatto etc….

Secondo cybersecuritynews BMW ha sottolineato il suo impegno per la privacy dei clienti e gli sforzi continui per rafforzare la sicurezza dei suoi sistemi. Tuttavia, le violazioni che sembrerebbero avvenute nella prima metà del 2024 hanno sollevato diverse preoccupazioni.

Supporta RHC acquistando il Corso CTI:

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Al momento, non è possibile confermare la veridicità della notizia, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo deve essere considerato come ‘fonte di intelligence’.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni sulla vicenda od effettuare una dichiarazione, possono accedere alla sezione contatti, oppure in forma anonima utilizzando la mail crittografata del whistleblower.

Chi è 888 ?

Il cyber threat actor noto come “888” ha fatto la sua comparsa nei forum underground nell’agosto 2023.

Le sue operazioni si concentrano principalmente sul furto di dati sensibili di importanti aziende, al fine di poterli rivendere. Tra le aziende che potrebbero avere subito violazioni da parte di “888” rientrano: Shopify, BMW (Hong Kong), L’Oreal, Shell, Heineken, Accenture (India) e Credit Suisse (India).

Le attività di “888” rappresentano una minaccia significativa per le organizzazioni con potenziali impatti che includono la perdita di dati confidenziali, danni alla reputazione, costi finanziari per la risposta agli incidenti e possibilità di estorsioni.

Per mitigare i rischi associati a questo attore della minaccia, le organizzazioni devono monitorare attivamente l’esposizione dei propri dati, oltre a implementare misure di sicurezza robuste, tra cui controlli di accesso, crittografia dei dati, gestione delle patch e formazione del personale sulla sicurezza informatica.

In sintesi, “888” rappresenta una minaccia emergente nel panorama della cybersecurity, e le organizzazioni devono rimanere vigili e informate per proteggere i loro dati e la loro reputazione.

In poco meno di un anno di attività ha dimostrato determinazione nel perseguire le sue attività dannose, accumulando una reputazione totale di 1750, con 66 valutazioni dai membri (di cui 65 positive e 1 negativa).

Cerchiamo di fornire un’analisi delle attività note di “888” e delle organizzazioni bersaglio, nonché alcune raccomandazioni per le organizzazioni che desiderano proteggere i loro dati sensibili.

Per la redazione del report si è fatto riferimento a fonti di informazione disponibili su internet e al monitoraggio di forum underground.

Threat Landscape

Le attività di “888” si concentrano sulla compromissione di dati sensibili, che vengono successivamente diffusi nei canali underground. Fino ad oggi, “888” ha postato 51 thread su Breachforums, offrendo sample di dati e proponendo la condivisione di informazioni sensibili dietro pagamento. Le aziende bersaglio includono nomi di rilievo come: Riyadh Airport, Shopify, BMW (Hong Kong), L’Oreal, Shell, Heineken, Accenture e Credit Suisse (India).

Purtroppo ad oggi non ci sono informazioni certe circa le TTPs utilizzate da “888”; presumibilmente potrebbe sfruttare misconfiguration nei controlli di accesso o credenziali provenienti da altre violazioni, per poter avere accesso ai dati delle organizzazioni.

Inoltre, si potrebbe ipotizzare che i dati provengano da attacchi alla supply chain. Infatti, dopo la pubblicazione dei dati da parte di “888”, Shopify ha smentito di aver subito un data breach, affermando che le informazioni potessero provenire da violazioni di app di terze parti.

Ulteriori ricerche sono necessarie per comprendere le strategie e le tattiche utilizzate da questo threat actor.

Allo stesso modo, Accenture India ha contestato la validità della violazione rivendicata da “888”, indicando che solo 3 dei 32.000 record diffusi appartenevano a dipendenti dell’azienda.

Minacce Specifiche

Dalla sua comparsa il threat actor “888” si è reso responsabile di attacchi mirati contro organizzazioni di rilievo, come da tabella seguente:

Mitigazione e Raccomandazioni

Al fine di mitigare le possibili conseguenze derivanti da diffusioni di dati sensibili dei dipendenti delle organizzazioni, è necessario che le aziende si dotino di strutture capaci di svolgere i compiti di Cyber Threat Intelligence, al fine di monitorare l’esposizione aziendale e quindi:

• Implementare controlli di accesso robusti e autenticazione a più fattori
• Provvedere con regolarità all’aggiornamento e al patching dei software
• Formare il personale sulla sicurezza informatica e, in particolare, svolgere regolari aggiornamenti sulle minacce emergenti
• Implementare soluzioni di sicurezza avanzate, come sistemi di rilevamento delle intrusioni e di analisi delle minacce
• In occasione del rilevamento di dati esposti, aumentare il livello di attenzione di tutte le parti coinvolte nel business aziendale (dipendenti, clienti, fornitori), al fine di proteggersi dall’impiego delle informazioni stesse in attacchi di social engineering

Conclusioni

Pur in assenza di informazioni dettagliate che permettano di comprendere a fondo le capacità tecniche del cyber threat actor “888”, questo rappresenta una minaccia significativa dal momento che ha dimostrato determinazione nel perseguire le sue attività dannose, finalizzate all’esfiltrazione di dati sensibili per finalità economiche, oltre alla capacità di colpire organizzazioni rilevanti nei rispettivi settori di attività.

Fonti e Riferimenti:

• Breach Forums
• https://www.cyberdaily.au/security/10726-exclusive-accenture-says-data-leak-claims-false-only-3-affected
• https://thecyberexpress.com/alleged-decathlon-data-leak
• https://thecyberexpress.com/microsoft-data-breach-employees-claimed
• https://www.scmagazine.com/brief/data-breach-claims-rejected-by-shopify
• https://thecyberexpress.com/credit-suisse-data-breach-india
• https://cybersecuritynews.com/bmw-hong-kong-faces-major-data-breach
• https://www.techradar.com/pro/security/shopify-points-to-third-party-app-for-data-breach
• https://www.bleepingcomputer.com/news/security/shopify-denies-it-was-hacked-links-stolen-data-to-third-party-app
• https://gbhackers.com/threat-claiming-breach-data
• https://thecyberexpress.com/alleged-heineken-data-breach
• https://thecyberexpress.com/alleged-shell-data-breach-claims
• https://cybersecuritynews.com/threats-claimimg-breach
• https://www.cloudways.com/blog/hacker-allegedly-leaks-data-from-shopify-breach-on-breachforums
• https://doingfedtime.com/888
• https://www.scmp.com/news/hong-kong/law-and-crime/article/3271905/personal-data-14000-bmw-customers-hong-kong-leaked

Marco Mazzola
Sistemista informatico con oltre 20 anni di esperienza, specializzato in networking e sicurezza. Certificato in ambito IT, con focus sulla sicurezza delle infrastrutture. Freelance per aziende in Lombardia e Piemonte.