Topics tagged with darkweb

ShinyHunters viola Canvas: 275 milioni di studenti nel mirino nel più grande data breach educativo della storia

blog@insicurezzadigitale.com — Mon, 11 May 2026 15:20:51 GMT

Si parla di:ToggleIl gruppo di estorsione digitale ShinyHunters ha violato Instructure, la società madre della piattaforma di e-learning Canvas, sottraendo 3,65 terabyte di dati relativi a circa 275 milioni di studenti e insegnanti distribuiti in 8.809 istituzioni scolastiche in tutto il mondo. L’attacco, rivendicato il 3 maggio 2026 e tuttora in evoluzione con un ultimatum di riscatto fissato al 12 maggio, è già classificato come il più grande data breach della storia nel settore dell’istruzione — con implicazioni che vanno ben oltre la semplice esfiltrazione di dati anagrafici.La timeline dell’attaccoLa prima anomalia rilevata è datata 29 aprile 2026, quando alcuni strumenti di Canvas iniziarono a mostrare malfunzionamenti. Il giorno successivo, Instructure confermò internamente una violazione criminale in corso e ingaggiò esperti forensi esterni. Il 3 maggio, ShinyHunters rivendicò pubblicamente l’attacco su forum underground, pubblicando campioni dei dati come prova. Il 7 maggio — in un’escalation particolarmente aggressiva — il gruppo defacciò le pagine di login di numerose istituzioni scolastiche clienti di Canvas, sostituendole con un messaggio di estorsione visibile a milioni di studenti nel pieno del periodo degli esami di fine anno accademico.La scelta del momento non è casuale: colpire a maggio, durante le sessioni d’esame universitarie negli USA, nel Regno Unito e in Australia, massimizza la pressione mediatica e istituzionale, aumentando la probabilità che la vittima ceda alle richieste di riscatto.Il vettore d’attacco: account Free-For-Teacher e abuso OAuthSecondo le prime ricostruzioni rese note da Instructure, il punto d’ingresso iniziale è stato un’vulnerabilità legata agli account Free-For-Teacher, un tipo di account gratuito offerto da Canvas agli insegnanti per uso personale o sperimentale, con autorizzazioni API più ampie rispetto agli account studente standard. ShinyHunters, noto per la sua expertise nell’abuso di piattaforme cloud enterprise attraverso tecniche di vishing, furto di credenziali e abuso OAuth, ha sfruttato questo vettore per ottenere token di accesso con privilegi elevati all’infrastruttura di Instructure.Il modus operandi del gruppo in operazioni precedenti — tra cui le violazioni di Snowflake (2024) e Salesforce — segue uno schema consolidato: compromissione di account cloud di terze parti con accesso API, escalation dei privilegi tramite token OAuth mal configurati o rubati, esfiltrazione massiva di dati in formato strutturato (database dump, CSV), e infine doppia estorsione con pubblicazione progressiva di campioni come leva negoziale.La scala senza precedenti: chi è stato colpitoCon 8.809 istituzioni coinvolte in almeno otto Paesi — Stati Uniti, Canada, Regno Unito, Nuova Zelanda, Australia, Svezia, Paesi Bassi e Singapore — il breach Canvas supera qualsiasi precedente nella storia delle violazioni del settore education. Tra le istituzioni nominalmente esposte figurano MIT, Oxford, Duke University, University of Pennsylvania e centinaia di altre università di primo piano a livello globale.I dati sottratti confermati includono: nomi e cognomi, indirizzi email istituzionali, numeri di matricola, iscrizioni ai corsi e — particolarmente sensibile — messaggi privati scambiati tra studenti e docenti. Instructure ha dichiarato che non risultano compromesse password, date di nascita, documenti d’identità governativi o informazioni finanziarie, ma l’entità dell’esfiltrazione — 3,65 TB — suggerisce che il quadro completo dei dati sottratti non sia ancora del tutto chiaro.ShinyHunters: il profilo del gruppoShinyHunters è un gruppo di estorsione digitale attivo almeno dal 2020, noto per operazioni ad alto impatto contro piattaforme cloud. Nel curriculum del gruppo figurano violazioni di Tokopedia (91 milioni di record), Wattpad, Mathway, Pluto TV, e la già citata campagna Snowflake del 2024 che colpì centinaia di aziende Fortune 500 tramite furto di credenziali di clienti cloud. Il gruppo non dispone di una struttura ransomware con cifratura dei file: la loro arma primaria è la minaccia di pubblicazione dei dati, amplificata da azioni di defacement visibili (come le pagine login di Canvas sostituite) che generano massima pressione mediatica.La deadline del 12 maggio 2026 per il pagamento del riscatto è in scadenza nei prossimi giorni. Non è noto l’importo richiesto. Instructure non ha confermato né smentito trattative in corso.Cosa devono fare istituzioni e utentiLe istituzioni che utilizzano Canvas devono agire immediatamente su più fronti: rotazione di tutte le API key Canvas, revoca e re-emissione di tutti i token OAuth attivi, verifica delle integrazioni SSO con provider di identità istituzionali, e audit degli account Free-For-Teacher attivi nella propria istanza. Per gli utenti finali, il rischio principale nelle settimane successive sarà quello di campagne di phishing personalizzate, che sfrutteranno i dati esfiltrati (email istituzionali, nomi dei corsi, messaggi privati) per costruire lure altamente credibili. La ricezione di email apparentemente provenienti da docenti, segreterie o piattaforme universitarie deve essere trattata con massima cautela per almeno i prossimi 90 giorni.## Indicatori e dati chiave del breach Canvas/ShinyHunters Data prima anomalia: 29 aprile 2026 Data rivendicazione: 3 maggio 2026 Data defacement login pages: 7 maggio 2026 Deadline riscatto: 12 maggio 2026 Volume dati sottratti: ~3,65 TB Record compromessi (claim ShinyHunters): ~275 milioni Istituzioni coinvolte: 8.809 (in 8+ Paesi) Vettore iniziale: account Free-For-Teacher + abuso OAuth API Dati confermati compromessi: nome, email, student ID, messaggi privati Dati NON compromessi (Instructure): password, date nascita, ID gov., dati finanziari ## Azioni immediate per amministratori Canvas 1. Ruotare tutte le Canvas API key 2. Revocare e re-emettere i token OAuth attivi 3. Verificare integrazioni SSO e provider identità 4. Auditare account Free-For-Teacher attivi 5. Abilitare MFA per tutti gli account amministrativi

ShinyHunters colpisce attraverso Anodot: la supply chain SaaS apre i data warehouse Snowflake di decine di aziende — ora nel mirino Vimeo

blog@insicurezzadigitale.com — Wed, 29 Apr 2026 09:07:36 GMT

Si parla di:ToggleUn solo fornitore SaaS compromesso, e l’effetto domino colpisce decine di aziende enterprise. È la logica brutale dell’attacco supply chain che ShinyHunters ha affinato negli ultimi due anni: questa volta la porta di servizio si chiama Anodot, una piattaforma di analytics cloud che integra direttamente con Snowflake. L’ultimatum più recente è di oggi, 28 aprile 2026, contro Vimeo: pagare entro il 30 aprile o subire la pubblicazione dei dati esfiltrati da Snowflake e BigQuery.Il vettore: compromettere il custode per svaligiare il caveauAnodot è una piattaforma di monitoraggio dei costi cloud e anomaly detection usata da nomi come Atlassian, T-Mobile, UPS, Vimeo, Nordstrom, Amdocs, NICE e CyberArk. Per svolgere il suo lavoro, Anodot richiede token di accesso privilegiato ai data warehouse dei clienti — Snowflake in primis. È qui che ShinyHunters ha trovato la sua leva: invece di attaccare ogni vittima singolarmente, ha preso di mira il custode delle chiavi.Secondo le analisi dei ricercatori di RH-ISAC e Mitiga, gli attaccanti hanno sottratto token di autenticazione dall’infrastruttura di Anodot nel corso delle prime settimane di aprile 2026. Questi token, validi per accedere direttamente agli account Snowflake dei clienti, hanno aperto la strada all’esfiltrazione senza la necessità di sfruttare alcuna vulnerabilità nelle piattaforme delle vittime finali. Snowflake stessa non è stata violata: il problema è nella catena di fiducia tra il provider SaaS e i suoi clienti.Chi è ShinyHunters e il precedente Snowflake del 2024ShinyHunters è un collettivo cybercriminale attivo dal 2020, specializzato in esfiltrazione massiva di database e successiva estorsione. Il gruppo è salito alla ribalta internazionale con la violazione di Tokopedia (91 milioni di account), Microsoft GitHub e decine di altre piattaforme, finendo per diventare uno degli attori più prolifici nel mercato underground dei dati rubati.Il precedente Snowflake — scoppiato nella primavera-estate del 2024 — aveva già mostrato la pericolosità del vettore credential stuffing su piattaforme di dati cloud: Ticketmaster (560 milioni di record), AT&T (quasi tutti i clienti americani), Santander e oltre 165 organizzazioni compromesse attraverso credenziali rubate agli utenti di Snowflake privi di autenticazione multifattore. In quel caso il metodo era il credential stuffing diretto; ora il livello di sofisticazione è aumentato: si colpisce il provider intermedio per aggirare anche l’MFA delle vittime finali.La progressione degli attacchi: da Rockstar Games a VimeoLa timeline della campagna Anodot è ricostruibile dai post del leak site di ShinyHunters:11 aprile 2026 — ShinyHunters pubblica un messaggio rivolto a Rockstar Games: “Your Snowflake instances were compromised thanks to Anodot. Pay or leak by April 14”. Rockstar conferma una violazione a terze parti, specificando che non sono stati colpiti dati dei giocatori.Metà aprile 2026 — Emergono segnalazioni di altri clienti Anodot potenzialmente esposti; RH-ISAC emette un advisory alla propria comunità di retail e hospitality.28 aprile 2026 (oggi) — Nuovo ultimatum: ShinyHunters afferma di aver esfiltrato dati Snowflake e BigQuery di Vimeo tramite Anodot, con scadenza per il pagamento fissata al 30 aprile 2026.Anatomia tecnica dell’attaccoIl meccanismo di compromissione sfrutta la natura stessa dell’integrazione tra Anodot e Snowflake. Per monitorare i costi e rilevare anomalie nei data warehouse dei clienti, Anodot conserva nei propri sistemi token di accesso o credenziali di servizio con privilegi elevati — tipicamente account con ruolo ACCOUNTADMIN o SYSADMIN su Snowflake, o service account equivalenti su BigQuery.Una volta che gli attaccanti hanno sottratto questi token dall’infrastruttura di Anodot, le operazioni successive sono elementari:Autenticazione diretta all’account Snowflake della vittima tramite il token rubatoEnumerazione dei database e delle tabelle disponibiliEsecuzione di query SELECT * su tabelle di interesse (dati utenti, transazioni, metriche interne)Esfiltrazione tramite COPY INTO verso stage esterni o download direttoL’intera catena può essere eseguita senza toccare i sistemi interni della vittima finale, rendendo il rilevamento estremamente difficile per i team SOC che non monitorano attivamente gli accessi da IP insoliti o da service account normalmente inattivi nelle ore notturne.Indicatori di compromissione e segnali da monitorare# Snowflake: query per rilevare accessi anomali da service account SELECT user_name, client_ip, event_timestamp, reported_client_type FROM snowflake.account_usage.login_history WHERE user_name ILIKE '%anodot%' OR user_name ILIKE '%integration%' OR user_name ILIKE '%svc%' ORDER BY event_timestamp DESC; # Verificare sessioni attive non riconosciute SELECT * FROM snowflake.account_usage.sessions WHERE client_application_id NOT IN ( /* lista delle applicazioni legittime attese */ ) AND created_on > DATEADD(day, -30, CURRENT_TIMESTAMP()); # Controllare query di esfiltrazione massiva SELECT query_text, user_name, rows_produced, execution_time FROM snowflake.account_usage.query_history WHERE rows_produced > 100000 AND query_type = 'SELECT' ORDER BY start_time DESC;Il problema strutturale: la fiducia implicita nei provider SaaSIl caso Anodot mette a nudo una vulnerabilità sistemica nell’architettura di sicurezza delle aziende enterprise moderne: la proliferazione di integrazioni SaaS-to-SaaS crea una superficie d’attacco spesso invisibile ai team di sicurezza. Ogni strumento di monitoraggio, analytics, ITSM o osservabilità che si connette ai sistemi core diventa un potenziale pivot point per un attaccante.Il principio del least privilege — teoricamente applicato ai dipendenti — viene sistematicamente violato per i service account delle integrazioni SaaS, che spesso ricevono accessi di tipo amministratore perché “così funziona più facilmente”. Il risultato è che un unico provider compromesso può esporre l’intero ecosistema dati di un’organizzazione enterprise.Raccomandazioni operative immediateAudit immediato delle integrazioni Anodot: se la vostra organizzazione usa Anodot, ruotate immediatamente tutti i token di accesso e le credenziali condivise con il provider. Verificate i log di accesso Snowflake/BigQuery per le ultime 4 settimane.Network policies su Snowflake: abilitate le network policy che restringono l’accesso ai data warehouse solo agli IP autorizzati. Gli accessi da provider SaaS di terze parti dovrebbero provenire da range IP documentati e noti.OAuth e token scoping: privilegiate integrazioni che usano OAuth con scope limitati rispetto a credenziali amministrative persistenti. Implementate token rotation automatica con TTL brevi.Inventario delle integrazioni SaaS-to-SaaS: molte organizzazioni non hanno visibilità completa su quanti provider SaaS hanno accesso ai propri data warehouse. Un audit del tipo “chi può leggere cosa nel mio Snowflake?” è un esercizio urgente.Alerting su query anomale: configurate alerting su volumi di dati estratti superiori ai baseline storici, specialmente per service account di integrazioni esterne.L’ultimatum del 30 aprile su Vimeo resterà probabilmente senza risposta pubblica, come già avvenuto con Rockstar. Ma la campagna continuerà: finché esistono decine di provider SaaS con accessi privilegiati non monitorati ai dati delle loro enterprise, ShinyHunters — e gruppi analoghi — hanno un modello di business altamente redditizio.

Operation Level Up: DoJ smantella il compound Shunda Park in Myanmar e sanziona il senatore cambogiano Kok An

blog@insicurezzadigitale.com — Sun, 26 Apr 2026 10:03:13 GMT

Si parla di:ToggleIl Dipartimento di Giustizia degli Stati Uniti ha sferrato un attacco coordinato contro uno dei nodi più oscuri del cybercrimine organizzato in Asia sudorientale: lo Scam Center Strike Force ha incriminato due cittadini cinesi per aver gestito il compound Shunda Park in Myanmar, mentre l’OFAC ha sanzionato il senatore cambogiano Kok An e 28 entità collegate. L’operazione ha portato al sequestro di 503 siti web falsi di investimento in criptovalute e al recupero di oltre 562 milioni di dollari.Lo Scam Center Strike Force e l’operazione Level UpL’operazione è stata condotta nell’ambito di due iniziative parallele: Operation Level Up, focalizzata sul contrasto delle truffe di crypto-investimento, e lo Scam Center Strike Force, task force interagenziale del DoJ dedicata allo smantellamento dei compound criminali del Sudest asiatico. Complessivamente, le azioni coordinate hanno interrotto circa 9.000 casi di frode con criptovalute e bloccato oltre 700 milioni di dollari in asset digitali legati al riciclaggio di denaro.I due imputati principali, Huang Xingshan e Jiang Wen Jie, sono stati incriminati per cospirazione in frode telematica. Huang Xingshan avrebbe supervisionato il controllo coercitivo sui lavoratori trafficked nel compound, mentre Jiang Wen Jie dirigeva direttamente le operazioni di scam. Entrambi si trovano attualmente in custodia in Thailandia, dove erano stati arrestati all’inizio del 2026 per violazioni delle leggi sull’immigrazione nel tentativo di rientrare in Myanmar.Shunda Park: anatomia di un compound criminaleIl compound Shunda Park si trovava nel villaggio di Min Let Pan, nello Stato del Karen (Myanmar), in una zona controllata da milizie locali nella regione di confine con la Thailandia. Ha operato da almeno gennaio 2025 fino a novembre 2025, quando è stato sequestrato dal Karen National Liberation Army (KNLA). Questa dinamica rivela un dato significativo: i compound criminali del Sudest asiatico operano spesso in zone dove l’autorità statale è frammentata o assente, appoggiandosi a milizie e strutture paramilitari.Secondo la documentazione del DoJ, le vittime dei reclutatori venivano attratte con offerte di lavoro ben retribuito in Thailandia nel settore tecnologico. Una volta giunte nella zona, i documenti d’identità venivano confiscati e i soggetti venivano trafficati in Myanmar e costretti a lavorare sotto minaccia di violenza. Le testimonianze raccolte dall’FBI descrivono condizioni di lavoro forzato in un’operazione industriale di frode.Il meccanismo del “pig butchering”Le truffe perpetrate da Shunda Park seguivano il classico schema del pig butchering (in cinese: 杀猪盘, shā zhū pán i truffatori stabilivano relazioni personali con le vittime attraverso piattaforme di social networking e app di dating, costruendo nel tempo un rapporto di fiducia. Una volta guadagnata la fiducia della vittima, la conversazione veniva progressivamente indirizzata verso presunte opportunità di investimento in criptovalute su piattaforme false create ad hoc. Le vittime venivano incoraggiate a depositare somme crescenti, con la promessa di rendimenti straordinari visualizzati su dashboard manipolate, fino a quando i truffatori sparivano con i fondi.Questa tecnica è particolarmente efficace perché i criminali dedicano settimane o mesi alla costruzione del rapporto, rendendo le vittime emotivamente investite prima di introdurre il componente finanziario. Le perdite individuali documentate nei casi americani raggiungono spesso centinaia di migliaia di dollari.La rete di Kok An: senatore, casinò e human traffickingParallelamente alle incriminazioni penali, l’OFAC (Office of Foreign Assets Control) ha designato il senatore cambogiano Kok An, assieme al suo impero di affari, 28 individui e entità correlate — tra cui casinò, società di facciata e una banca cambogiana. Le designazioni documentano il ruolo di Kok An nel fornire infrastrutture fisiche e finanziarie ai network di human trafficking e frode cyber-enabled in Cambogia e nella regione.L’inclusione di un senatore in carica tra i soggetti sanzionati rappresenta una mossa diplomaticamente significativa, segnalando la disponibilità dell’amministrazione americana a colpire direttamente figure politiche regionali che proteggono o facilitano queste operazioni. Esperti del settore avvertono tuttavia che i compound criminali, già dimostratasi resiliente, probabilmente si rilocalizzeranno piuttosto che cessare le operazioni.Infrastruttura digitale sequestrataSul fronte digitale, l’operazione ha portato a risultati tangibili: sequestro di 503 siti web di investimento fake in criptovalute, abbattimento di un canale Telegram con oltre 6.000 follower usato per reclutare lavoratori forzati in Cambogia, blocco di oltre 700 milioni di dollari in criptovalute legate al riciclaggio. Questi numeri evidenziano la scala industriale dell’operazione: non si tratta di piccoli gruppi criminali, ma di organizzazioni con infrastrutture tecnologiche, risorse umane forzate, e strutture finanziarie sofisticate.Il contesto geopolitico: Asia sudorientale come hub del cybercrimineI compound criminali di Myanmar, Cambogia, Laos e Filippine sono emersi negli ultimi anni come il principale hub globale delle truffe online. Secondo le stime delle Nazioni Unite, centinaia di migliaia di persone sono vittime di trafficking forzato in questi compound. La particolarità di questa criminalità organizzata è la sua doppia natura: è contemporaneamente una crisi di human trafficking e una minaccia di cybercrimine sofisticato, con vittime sia tra i lavoratori forzati che tra le persone truffate.Le azioni dell’amministrazione americana vanno lette anche in chiave geopolitica: la presenza di criminali cinesi alla guida di operazioni in Myanmar, unita alla complicità di figure politiche cambogiane, configura una rete di illegalità che attraversa le sfere di influenza della regione. La risposta americana con sanzioni OFAC e incriminazioni penali tenta di esercitare pressione su attori che operano fuori dalla giurisdizione diretta degli Stati Uniti.Implicazioni per i difensori e indicatori di allertaPer i professionisti della sicurezza, l’operazione Level Up offre spunti operativi utili. Le piattaforme di investimento in criptovalute false utilizzate nei pig butchering scam mostrano pattern infrastrutturali ricorrenti: domini registrati di recente con nomi che imitano exchange legittimi, certificati TLS validi ma hosting su provider offshore, assenza di registrazioni presso autorità di regolamentazione finanziaria, e dashboard di investimento con rendimenti manipolati in tempo reale.Pattern infrastrutturali dei siti fake sequestrati: - Registrazione dominio: <90 giorni prima del sequestro - Hosting: provider offshore (generalmente Asia/Est Europa) - TLD comuni usati: .vip, .top, .xyz, .pro - Pattern nome dominio: [exchange-legittimo]-[suffisso] (es. coinbase-pro-vip[.]com) - Assenza di registrazione SEC/FCA/CONSOB Indicatori di una truffa pig butchering: - Contatto non sollecitato via app di dating o social - Proposta di investimento in crypto dopo periodo di "amicizia" - Piattaforma di trading non verificabile su registri ufficiali - Richiesta di deposit in crypto (irreversibile) - "Rendimenti" visibili ma impossibilità di prelevare fondiL’operazione Level Up dimostra che le forze dell’ordine internazionali stanno affinando le capacità di tracking delle criptovalute per seguire il flusso di fondi anche attraverso mixer e chain-hopping. La collaborazione tra FBI, OFAC e forze locali regionali rappresenta il modello operativo necessario per contrastare criminalità che, per definizione, ignora i confini nazionali.