La Norvegia sanziona Xandr (Microsoft) con una multa record per la condivisione illecita di dati sensibili di utenti Grindr. Nel frattempo, attacchi sofisticati continuano a sfruttare Microsoft Power BI per distribuire malware.
Le recenti indagini sulla sicurezza informatica dipingono un quadro complesso, caratterizzato sia da pratiche di gestione dati discutibili da parte di entità legate a Microsoft, sia da campagne di attacco in corso che sfruttano piattaforme cloud legittime. Mentre una sofisticata operazione malevola continua a utilizzare Microsoft Power BI per distribuire il software di accesso remoto ScreenConnect, una società di proprietà di Microsoft, Xandr, è stata multata pesantemente in Norvegia per la condivisione illecita di dati sensibili di utenti Grindr.
L'Autorità norvegese per la protezione dei dati (Datatilsynet) ha inflitto una sanzione di circa 9,6 milioni di dollari (8,6 milioni di euro) a Xandr, una società di pubblicità digitale acquisita da Microsoft. Questa sanzione, la più alta mai emessa dall'autorità norvegese, è stata comminata per il trattamento e la condivisione illecita di dati sensibili appartenenti agli utenti dell'app di incontri Grindr nel paese. Secondo le scoperte dell'autorità, tra luglio 2018 e aprile 2020, Xandr ha agito come intermediario nelle aste pubblicitarie in tempo reale all'interno di Grindr, esponendo potenzialmente dati sensibili degli utenti, inclusa la loro orientamento sessuale, a migliaia di aziende.
Queste aste funzionano attraverso un sistema in cui gli inserzionisti competono per mostrare un annuncio a un utente di Grindr, dopo aver ricevuto informazioni di profilazione da Xandr. All'epoca, Xandr era co-responsabile del trattamento dei dati insieme a Grindr e, secondo l'autorità, avrebbe dovuto richiedere e ottenere un consenso esplicito dagli interessati per tale elaborazione. Tuttavia, l'indagine ha rivelato che Xandr non ha verificato adeguatamente la validità dei consensi ottenuti da Grindr, né ha garantito una base giuridica solida per il proprio trattamento dei dati. Di conseguenza, informazioni sensibili su utenti norvegesi e di altri paesi sono state condivise con migliaia di inserzionisti senza che gli utenti ne fossero pienamente consapevoli o avessero fornito un consenso informato e specifico.
L'autorità di protezione dati ha sottolineato la gravità della violazione, definendola "molto seria" e giustificando così l'entità della multa, calcolata anche tenendo conto del fatturato annuale totale di Xandr nel periodo in questione, che precede l'acquisizione da parte di Microsoft. La decisione è stata accolta con favore da organizzazioni per la privacy come Noyb (None of Your Business), che l'hanno definita un "colpo importante per l'industria dell'adtech online" e un passo verso la responsabilità delle aziende per le loro "pratiche poco trasparenti". Xandr, ora parte di Microsoft Advertising, ha tre settimane per appellarsi alla decisione.
Un portavoce di Microsoft ha dichiarato che l'azienda sta "esaminando la decisione e valutando le proprie opzioni", sottolineando che le indagini e l'esito si concentrano su condotte precedenti all'acquisizione di Xandr da parte di Microsoft nel dicembre 2021. È interessante notare che, nel mese precedente, Grindr stessa ha accettato di pagare 35,1 milioni di dollari per risolvere una causa nel Regno Unito relativa alla condivisione di dati personali degli utenti, incluso lo stato HIV, con terze parti.
Parallelamente a queste notizie, la campagna malevola che sfrutta le funzionalità di Microsoft Power BI per distribuire client di ScreenConnect continua a rappresentare una minaccia significativa. Come precedentemente riportato, questa operazione non si basa su una vulnerabilità software di Power BI, ma sull'abuso delle sue funzionalità di pubblicazione di dashboard. Gli aggressori creano dashboard accessibili pubblicamente su app.powerbi.com contenenti link malevoli. Poiché questi link risiedono su un dominio Microsoft legittimo, tendono a eludere i filtri di sicurezza tradizionali e a guadagnare la fiducia degli utenti.
L'attacco inizia tipicamente con un'email di phishing che indirizza gli utenti verso un presunto documento o report su Power BI. Cliccando sul link, le vittime vengono reindirizzate a pagine web controllate dagli attaccanti, spesso ospitate su domini che imitano servizi legittimi o utilizzano nomi generici. Queste pagine impiegano tecniche di browser fingerprinting per raccogliere informazioni dettagliate sul sistema della vittima. Vengono implementate sofisticate misure di offuscamento e controlli sul sistema dell'utente; se questi controlli non vengono superati (ad esempio, se viene rilevato un ambiente di analisi o una macchina virtuale), l'utente viene reindirizzato altrove per evitare il rilevamento. Le pagine malevole sono anche in grado di trasmettere dati telemetrici delle vittime, inclusi indirizzi IP e informazioni di geolocalizzazione, tramite bot Telegram.
Un elemento chiave dell'attacco è il ritardo nell'attivazione del download del payload. Dopo una pausa di diversi secondi, viene scaricato un installer di ScreenConnect, spesso mascherato da documento legittimo o da un aggiornamento necessario. Una volta installato, il client stabilisce una connessione con un server di comando e controllo (C2) gestito dagli aggressori, consentendo loro di ottenere un accesso remoto non autorizzato al sistema compromesso.
La campagna dimostra una notevole capacità di stabilire persistenza sui sistemi compromessi, rendendo difficile la rimozione del malware. Gli attaccanti utilizzano script PowerShell (come SCAutoFix.ps1) per rimuovere e reinstallare client ScreenConnect, probabilmente nel tentativo di eludere il rilevamento da parte di software di sicurezza o di ripristinare l'accesso in caso di rimozione manuale. È stata inoltre identificata l'utility HideUL_x64.exe, presumibilmente impiegata per nascondere le attività malevole e i processi associati al malware. Per garantire un accesso continuo, viene configurata un'attività pianificata (ad esempio, SCAutoRepairEvery2Min) che riesegue periodicamente lo script di ripristino, mantenendo il software di accesso remoto attivo e funzionante.
Questa ridondanza e la capacità di stabilire molteplici percorsi di accesso remoto ricordano tecniche osservate in precedenti campagne di phishing e malware, volte a garantire un accesso persistente anche di fronte a tentativi di bonifica o rimozione. L'uso di domini legittimi per la distribuzione iniziale e tecniche di offuscamento avanzate contribuiscono all'efficacia di questi attacchi.
Le organizzazioni sono esortate a monitorare attentamente l'installazione di client ScreenConnect non autorizzati, le connessioni a server di relay sospetti e la presenza di script di accesso remoto o attività pianificate ricorrenti sui propri sistemi. La rimozione completa richiede l'identificazione e l'eliminazione di tutti i client ScreenConnect e dei relativi meccanismi di persistenza.
Questi eventi, sebbene distinti, evidenziano un tema comune: l'abuso di servizi cloud legittimi e la gestione dei dati sensibili. Mentre la campagna di attacco dimostra come gli aggressori sfruttino piattaforme fidate per la distribuzione di malware, la multa a Xandr sottolinea le conseguenze legali e finanziarie della gestione impropria dei dati personali nell'ecosistema dell'adtech. La difesa informatica richiede quindi un approccio multilivello, che includa la vigilanza tecnica contro le minacce in evoluzione e una rigorosa aderenza alle normative sulla privacy dei dati, come il GDPR.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
