Attacco a Quora, compromesse informazioni personali di 100 milioni utenti

Informazioni personali e messaggi privati di 100 milioni di account su Quora sono stati compromessi. A darne avviso è lo stesso direttore esecutivo del social network, Adam D’Angelo, il quale precisa che la falla sarebbe stata causata da un “attore terzo malevolo”, quindi probabilmente un’estensione sviluppata esternamente dal social. I tecnici dell’azienda, che hanno scoperto la falla venerdì, stanno ancora indagando per determinarne l’estensione.

Nomi, indirizzi mail, interazioni e post: stando alla lista divulgata dal social network gli attaccanti si sarebbero impossessati di praticamente qualsiasi informazione riguardante gli utenti. Tra queste anche le password, anche se la società precisa che erano cifrate, quindi non accessibili agli attaccanti. Una rassicurazione parziale fino a quando non si sapranno maggiori dettagli sull’algoritmo di cifratura utilizzato e dunque sulla capacità di un attaccante di leggerle. Rimangono al sicuro invece le domande che gli utenti hanno posto anonimamente, “non coinvolte in questa intrusione dal momento che non raccogliamo le identità di chi posta contenuti anonimi”, rassicura l’azienda. “La stragrande maggioranza dei contenuti sottratti era già pubblica su Quora, ma la compromissione degli account e di altre informazioni private rimane seria”, si legge nel blogpost.

Quora chi?

Simile a Yahoo Answers, Quora è una piattaforma specializzata nel mettere in relazione chi ha una domanda con chi potrebbe più facilmente avere una risposta. La piattaforma afferma di avere 300 milioni di utenti (Twitter ne ha 326 milioni), quindi è quantomeno singolare che molti utenti sui social si chiedano: “Come ci sono finito tra gli account di Quora?”. Una risposta la dà la stessa società nella pagina domande frequenti creata in occasione del data breach: “Forse ti sei iscritto a Quora qualche tempo fa. Anche se non hai visitato o utilizzato regolarmente Quora, il tuo account è rimasto, e questa violazione potrebbe aver esposto alcune delle tue informazioni, come l'indirizzo e-mail con cui ti sei registrato, la password che hai usato, o le azioni che hai intrapreso su Quora”.

Negli ultimi anni si è diffusa la possibilità di accedere a servizi online e piattaforme tramite i propri account Facebook o Google. Il servizio offre all’utente la possibilità di utilizzare la propria identità su piattaforme di terze parti anziché dover creare un singolo profilo per ogni piattaforma. Tuttavia, come sempre sul web, questo servizio ha un costo: speso per disattenzione, l’utente stesso non ricorda molti degli account di cui dispone finendo per lasciare nell’incuria la propria identità digitale. In cambio, il servizio che si è utilizzato per il login conserva tutte le informazioni relative all’attività digitale degli utenti per una profilazione più efficace.

Cosa fare

Se si è titolari di un account su Quora, la stessa società suggerisce agli utenti di cambiare la password, dal momento che anche queste, sebbene cifrate, sono state compromesse. La società precisa che è sempre bene utilizzare password diverse per ogni identità online: se si è usata la stessa chiave d’accesso sia per Quora sia per altri servizi, anche per questi sarà necessario cambiarla. Un attaccante in possesso di una lista di password potrebbe utilizzare la coppia di email e chiave d’accesso per accedere ad altre piattaforme sulle quali l’utente abbia un account.