Republik rivela una violazione dei dati degli utenti dopo un attacco allo strumento di analisi

Republik afferma che gli aggressori hanno avuto accesso ai dati degli utenti per circa due mesi tramite uno strumento di analisi vulnerabile. La rivista online con sede a Zurigo ha reso nota la violazione dopo che uno dei suoi strumenti di analisi ha smesso di funzionare mercoledì mattina, 14 ottobre. Secondo la rivista, mettendo il sistema fuori servizio è stato interrotto anche l’accesso degli aggressori.

Republik ha dichiarato che la vulnerabilità era nota dal 6 agosto, ma che le necessarie misure di protezione non sono state attuate abbastanza rapidamente. La rivista non ha identificato i responsabili dell’intrusione. La valutazione iniziale indica una campagna automatizzata su vasta scala, che ha cercato installazioni Metabase esposte per individuare informazioni di valore.

La violazione riguarda più dei soli lettori paganti. Republik ha dichiarato che gli aggressori hanno raggiunto dati relativi a collaboratori attivi, abbonati, destinatari della newsletter e tutti gli ex utenti. Tra le persone interessate figurano anche quelle che si erano iscritte soltanto a una newsletter, senza aver mai avuto un abbonamento.

La rivista afferma che non vi sono indicazioni che siano stati esposti dati delle carte di credito o che gli aggressori abbiano preso di mira Republik in modo specifico. L’incidente ha comunque messo informazioni personali detenute da una nota organizzazione mediatica svizzera nelle mani di soggetti sconosciuti.

Il sistema esposto era Metabase, una piattaforma di analisi usata per esaminare i dati all’interno di un’organizzazione. Republik ha dichiarato che gli aggressori hanno dapprima cercato in Internet i contenuti delle installazioni Metabase. Tra i loro apparenti obiettivi figuravano credenziali di accesso e chiavi per servizi di intelligenza artificiale, informazioni che possono essere rivendute o riutilizzate in ulteriori attacchi.

Questo schema ha orientato la valutazione preliminare di Republik: l’intrusione sembra aver fatto parte di un’ondata automatizzata, anziché di una campagna diretta specificamente contro la rivista. La testata non conosce l’identità degli aggressori e il resoconto di partenza non fornisce prove che le informazioni sottratte siano state usate contro i lettori.

L’accesso è proseguito da agosto fino a quando lo strumento ha smesso di funzionare a metà ottobre. La decisione di Republik di mettere Metabase fuori servizio ha eliminato la via d’accesso degli aggressori all’installazione. La rivista ha poi completato una prima valutazione prima di informare l’autorità federale svizzera per la protezione dei dati.

L’episodio mostra come la compromissione di un servizio ausiliario possa esporre informazioni detenute da un’azienda mediatica, anche se il servizio non è il sito web principale della testata. Gli strumenti di analisi sono spesso integrati nelle attività editoriali e commerciali e possono collegare diverse categorie di dati degli utenti.

I dati esposti contenevano informazioni identificative e di contatto, non soltanto dati sugli abbonamenti. Republik ha dichiarato che i dati comprendevano indirizzi e-mail e nomi, nonché numeri di telefono nei casi in cui gli utenti li avevano forniti. Alcuni record contenevano anche l’anno di nascita e il genere.

La portata della violazione coinvolge l’intero rapporto della rivista con il suo pubblico. Sono stati interessati collaboratori attivi e abbonati, ma anche destinatari della newsletter ed ex utenti. Anche la sola iscrizione a una newsletter poteva quindi comportare la presenza dei dati personali nel insieme di dati compromesso. Il resoconto di partenza non indica il numero totale di record interessati.

Republik non ha segnalato prove di accesso a informazioni sulle carte di credito. La rivista ha inoltre dichiarato che non vi sono indicazioni che sia stata presa di mira in modo specifico. Queste dichiarazioni delimitano ciò che è noto al momento, ma non escludono che gli utenti possano essere esposti a successivi tentativi di contatto basati sulle informazioni sottratte.

Lettori ed ex lettori dovrebbero trattare con cautela i messaggi inattesi che menzionano Republik, abbonamenti o newsletter. Dovrebbero evitare di aprire link non richiesti e verificare le richieste tramite i canali ufficiali della rivista. Le informazioni disponibili non dimostrano che si sia verificata una frode di questo tipo, perciò gli utenti dovrebbero distinguere la prudenza pratica dalle conseguenze accertate.

Republik ha ammesso di essere a conoscenza della falla di sicurezza dal 6 agosto, ma di non aver agito in tempo. Questa ammissione è centrale nel resoconto dell’incidente fornito dalla rivista. Spiega perché la violazione sia proseguita per settimane dopo che la vulnerabilità era stata individuata e indica al contempo il momento in cui l’organizzazione non ha introdotto le contromisure necessarie.

La rivista si è accorta che l’incidente era terminato quando uno strumento di analisi ha smesso di funzionare mercoledì mattina. Ha quindi messo Metabase fuori servizio, interrompendo l’accesso degli aggressori. Republik ha dichiarato di aver svolto una prima valutazione dei danni prima di segnalare il caso all’Incaricato federale della protezione dei dati e della trasparenza giovedì 15 ottobre.

Il coinvolgimento dell’autorità colloca la violazione nel quadro svizzero della protezione dei dati. Il resoconto di partenza non descrive provvedimenti, conclusioni o ulteriori istruzioni dell’Incaricato. Non indica neppure se gli utenti interessati abbiano ricevuto comunicazioni individuali.

La dichiarazione pubblica di Republik fornisce agli utenti diversi fatti confermati: le categorie di dati coinvolte, i gruppi interessati, il periodo approssimativo di accesso e l’assenza di prove note di esposizione di dati delle carte di credito. Non identifica i responsabili né chiarisce come possano essere stati trattati i dati sottratti dopo l’intrusione.

Il prossimo compito di Republik è chiarire le conseguenze per ciascun gruppo interessato e spiegare agli utenti che cosa fare. La rivista ha rimosso lo strumento di analisi vulnerabile e completato una prima verifica, ma il resoconto pubblico lascia aperti diversi interrogativi, tra cui il numero di record coinvolti e l’eventualità che gli utenti ricevano una comunicazione diretta.

Per le organizzazioni mediatiche svizzere, l’incidente mette in evidenza i rischi per la sicurezza creati da servizi interconnessi che operano al di fuori della piattaforma editoriale visibile. I sistemi di analisi possono contenere informazioni su lettori, collaboratori e potenziali abbonati. Una falla in un componente può quindi estendere le conseguenze di un’intrusione oltre la funzione immediata dello strumento.

La violazione è anche un avvertimento pratico per chiunque abbia avuto contatti con Republik, comprese le persone che hanno soltanto ricevuto le sue newsletter o che in passato avevano un account. Questi utenti dovrebbero prestare attenzione a messaggi convincenti che fanno riferimento al loro nome, indirizzo e-mail o rapporto con la rivista. Dovrebbero segnalare le comunicazioni sospette tramite i canali ufficiali ed evitare di condividere password o dati di pagamento.

L’indagine di Republik, le comunicazioni con l’Incaricato federale e ogni ulteriore avviso agli utenti determineranno quanto altro si saprà sull’incidente. Per il momento, l’esposizione confermata riguarda dati personali del profilo e di contatto, senza prove segnalate di furto di informazioni sulle carte di credito.