Presunto leak del database clienti di ho. mobile [confermato]

matteocontrini · 2020-12-28T21:52:19+00:00

Traduco: Un attore malevolo sta vendendo un database dell'operatore ho. mobile di Vodafone. I dati comprendono informazioni personali di 2,5 milioni di cli...

mcpalls

Diegodd
concordo anche io sto scrivendo questo da questa notte 🙂

Per "dumpare" un db tramite api non è neanche banale, ovvero, spero che ho,mobile abbia configurato il framework a dovere. Per esempio, il formato JSON ha dei limiti massimi sulla size dell'output che può raggiungere i 5gb e di default spesso si trova 4mb
Purtroppo, possiamo solo ipotizzare i vari scenari possibili tra i quali anche uno 0day su qualche servizio interno di ho.mobile oppure su un servizio dell'azienda che ospista il db di ho.mobile come potrebbe essere IBM et simila
Ho,mobile ha i db in casa secondo voi?

Pytony98

Meglio aspettare conferme, per quanto ne sappiamo un ex dipendente del customer care potrebbe aver trafugato questi 10 record del db giusto per rendere reale la cosa, e magari aver riciclato un db che conteneva solo alcuni dati come nome cognome e data di nascita e aver aggiunto ICCID e altri dati in modo casuale.

Se si rivelasse vero credo che l'unico modo di limitare i danni sia portare tutti in Vodafone con sin nuove e chiudere ho.

Pier94

Indovinate chi ha ho mobile? Esatto 👉io👈
non è ancora finito questo 2020?

Cosmopolithanks

Pier94 tranquillo siamo in due milioni e mezzo non sei la pecora nera....niente panico, calma e sangue freddo....

#corza&foraggio

[cancellato]

Basta bloccare tutte le portabilità e cambi Sim e non vedo problemi.....

[cancellato]

#hopersolafiducia
#hopersoivostridati
#hofattoungrancasino
Quanti meme nasceranno dopo questa cosa? Forse un cambio di nome se é vero quello che é successo é decisamente desiderabile.. soprattutto perché se Sara confermato dovranno bene o male comunicarlo ai clienti ..

MobileAddicted

Ragazzi ho chiamato il loro servizio clienti e mi hanno confermato (sarà...) che si tratta di una notizia infondata che hanno solo provato ad attaccare ho.
La signorina mi ha pure detto che alla spalle ho. ha la grande Vodafone e quindi si può stare tranquilli su queste questioni di sicurezza e che noi sui forum/social stiamo facendo solo un gran polverone.

mah

matteoc

MobileAddicted
Forse ancora non hanno ancora informato il servizio clienti e loro, per il momento, negano ogni cosa.
La comunicazione (conferma o smentita) dovrebbe avvenire pubblicamente, credo, no?

davidebissoli97

MobileAddicted Ragazzi ho chinato il loro servizio clienti

Non sono da ascoltare in questo casi, già non lo sono normalmente, figurati in una situazione del genere. C'è da aspettare qualcosa di ufficiale

fede00

MobileAddicted Beh sicuramente fin quando i piani alti non confermano non verranno a dire a voi dal servizio clienti che è vero e che vi conviene cambiare operatore. Fa schifo come cosa, ma purtroppo è così

Vorpal97

MobileAddicted che si tratta di una notizia infondata che hanno solo provato ad attaccare ho.

e grazie al mazzo! 😂 Giustamente che altro può dire..
A parte che con i call center in generale sembra di essere alla fiera della vaccata per le cretinate che sparano, io non mi ci fiderei a priori.

handymenny

edofullo è da dire però che quell'api prende in input il customerid e il canale su cui la stai utilizzando (WEB, APP ecc..). È probabile che la stessa identica venga usata anche dai rivenditori e dall'assistenza.

Che sia una select * concordo, molti dati si trovano sia "hashati" che in "chiaro"

tiglui96

handymenny Da considerare anche che gran parte dei lavoratori di tutte le aziende IT sono in smartworking.

Basta ottenere le credenziali VPN o avere accesso ad un pc di uno dei dipendenti autorizzati ad accedere ai DB ed il gioco è fatto! (Non di rado si è molto generosi con le autorizzazioni ai sistemi, e così anche persone non direttamente collegate a ruoli di dbadmin hanno accesso completo al database di produzione. Come ad esempio sviluppatori e sistemisti vari, spesso anche consulenti di aziende esterne).

Non è detto quindi che si tratti per forza di SQL injection o altre vulnerabilità nei sistemi.

MobileAddicted

matteoc bho lei mi ha detto che al servizio clienti è stato di dire così, quindi bho una comunicazione l’avranno.
In ogni caso hai ragione, una comunicazione pubblica è più che opportuna.

[cancellato]

MobileAddicted al servizio clienti è stato di dire così

... da chi? Perché se lo dice il loro manager/capetto ha un valore, se lo dice il Presidente/AD di VEI ne ha un altro...

I call center non hanno mai informazioni "politiche" su quanto accade in azienda, e se ce l'hanno non sono titolati a dirmi ad un estraneo qualunque, quello è il lavoro dell'ufficio comunicazione/stampa/PR chiamatelo come volete. 😉

MobileAddicted

Vorpal97 Sisi la penso come te, ma volevo vedere cosa mi avrebbero risposto.

framanzari95

Come ci si può difendere temporaneamente magari agendo sull'home banking? Io ho un numero ho associato al conto banco poste

mcpalls

framanzari95

tranquillo le disposizioni effettate devono essere confermate da una parte di pin in tuo possesso che hai già ricevuto sul cellulare o sbaglio? e spero poi cancellato

MobileAddicted

Ancora più divertente il fatto che sui social come Instagram stanno cancellando i commenti delle persone che si stanno lamentando, quindi sospetta sta cosa.

mcpalls

fregnacce, non hanno ancora smentito perchè stanno settacciando i log del db ( incluse le tabelle di sysadmin dove vengono memorizzati tutti i comandi impartiti al db ) e dell'http etc. Log relativi a quale data? 🙂
Vabbe la signorina che deve dire...

MobileAddicted

mcpalls @[cancellato] come ho detto prima ho voluto solo fare un tentativo, è rimasta anche perplessa quando gli ho detto la parola dump.
Poi da chi avesse preso le informazioni bho va capire.
Bhe che dire ahahahah.

framanzari95

mcpalls ciao, non avevo letto la notifica di risposta. Allora il pin ricevuto via sms all'apertura del conto lo cancellai dal cellulare e conservai altrove. Ho provveduto a cambiare il numero securizzato dal sito poste e il numero associato all'account e anche quello in anagrafiche.

Inoltre ho cambiato numero e operatore. Non voglio mettermi nelle mani di chi gestisce una questione così importante senza rassicurare il cliente o provvedere ad avvertirlo per attuare contromisure.

« Pagina precedente Pagina successiva »

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile