Gli Hacker Noescape colpiscono l’ordine degli psicologi della Lombardia e i dati di un testimone a rischio finiscono nel “dark web”

Gli hacker del gruppo di Noescape hanno colpito e attraverso una falla dell’interfaccia del sito dell’ordine degli psicologi della Lombardia e sono entrati nel database. Utilizzando un malware ramsonware, hanno prelevato dei dati dal database per poi pubblicarli, come prova della loro azione,  sul “dark web” più conosciuto, quello del sistema di server Onion, accessibile tramite il browser Thor. Quindi hanno cancellato i backup e criptato gli altri dati rendendoli inaccessibili. I documenti pubblicati nel dark web sono pochi ma relativi al testimone e vittima di un processo per atti persecutori ancora in atto, che ora vive nella paura.

E’ successo lo scorso 3 ottobre 2023 e il primo a dare notizia di quanto successo è stato il giornale online di Enrico Mentana, Open, che ha pubblicato un articolo lo scorso 20 ottobre. NoEscape ha chiesto un riscatto per i dati  trafugati e l’ordine degli psicologi, giustamente, non lo ha pagato, denunciando il furto. Non è stata data nessuna notizia pubblica di quanto successo. L’organizzazione di hacker ha però minacciato di mettere i dati online entro il 16 ottobre. Non lo ha poi fatto, ma ne ha pubblicati solo 7, a prova della verità del furto.

Dopo l’articolo pubblicato da Open, al 20 ottobre, l’ordine degli Psicologi della Lombardia ha ammesso la vicenda, ha chiesto a Open di pubblicare una rettifica per ridimensionare l’allarme e ha pubblicato la sua versione dei fatti sul suo sito internet. In ciò che scrive c’è l’ammissione che solo 7 documenti sono stati pubblicati sul blog di Noescape.

Quei 7 documenti… e la rete di Onion

Secondo l’Ordine degli psicologi c’è stato molto rumore per nulla e il danno è stato riparato velocemente grazie alle misure di sicurezza prese in anticipo con il salvataggio dei dati su dischi esterni tenuti in cassaforte, ma il caso, e forse non solo il caso, ha voluto che i documenti pubblicati sul dark web più raggiungibile del mondo riguardassero anche un caso, quello di una psicologa segnalata da un’assistito per comportamenti scorretti e che quei file contenessero i dati delle persone che l’avevano segnalata, compreso l’indirizzo del domicilio.

Una di queste è una persona che vive una situazione di pericolo, che deve proteggere i suoi dati, specie l’indirizzo di casa, in modo particolare perchè vittima e testimone in procedimenti penali relativi a degli atti persecutori. Al momento della segnalazione l’ordine era stato avvisato della situazione più particolare delle altre, e aveva insistito per avere anche l’indirizzo preciso, ma quel dato si trovava comunque in un sistema online.

Una vera leggerezza comune a molti siti e organizzazioni istituzionali pubblici (e anche privati) che, oltre a fare acqua da tutte le parti dal lato della sicurezza, non mantengono un profilo prudenziale sui dati inseriti dal web. Chi li utilizza sembra credere che usare un livello di prudenza alto sia “esagerato” e che la protezione dei dati riguardi esclusivamente l’esposizione allo spam che invade le caselle email.

Vittima del furto e della leggerezza

La persona in questione ha saputo del furto dei suoi dati e della loro pubblicazione su Onion solo il 22 novembre, quando le è arrivata una lettera da parte dell’ordine degli psicologi, con cui la informava e la avvisava di non aprire possibili email di spam indirizzate a lei. La vittima ha informato immediatamente la polizia postale della sua delicata situazione chiedendo istruzioni, ma dalla polizia postale la hanno rimandata al commissariato in cui la seguono. Al commissariato hanno invece detto di non avere competenze e la hanno rimandata alla polizia postale. Un bel rimpallo.

È successo anche qualcosa di peggio

L’ordine degli psicologi, nel tentativo di difendersi e diminuire il peso dell’allarme sociale provocato dalla pubblicità della notizia, ha sottovalutato la situazione al punto che, nel dare la notizia del furto e delle relative misure prese, ha pubblicato sul suo sito internet sia le istruzioni per accedere alla rete internet Onion sia una foto che contiene l’indirizzo esatto del blog di Noescape da cui è possibile scaricare i 7 documenti pubblicati e forse anche gli altri. Questo dopo aver scritto che nessun documento era stato pubblicato della rete internet.

La reazione

“State attenti ad inserire i propri dati nei form dei siti internet. Può succedere di tutto. Persino in quelli appartenenti a chi dovrebbe essere cosciente delle responsabilità che ha”, ci dice la vittima di questa storia assurda. In queste ore sta vivendo con la paura e che ha dovuto velocemente cambiare nuovamente il suo domicilio, insieme ai suoi figli, per evitare il rischio che lo stalker che ha minacciato di ucciderla la possa trovare. Il caso che fra i 23mila documenti che dicono di aver rubato, gli hacker abbiano scelto di pubblicare i suoi non la fa star certamente tranquilla. Di certo non aprirà email di spam, e nemmeno la porta di casa.