Il gruppo Arkana tenta la rivendita di dati Ticketmaster già trafugati durante l’attacco Snowflake
Nel corso del fine settimana,il gruppo criminale arkana Security ha pubblicato un annuncio che sembrava riguardare nuovi dati rubati a Ticketmaster,suscitando preoccupazioni su un’ulteriore violazione. In realtà, però, si trattava di informazioni già sottratte in occasione degli attacchi al sistema snowflake del 2024.
Arkana ha mostrato screenshot relativi a oltre 569 GB di dati Ticketmaster messi in vendita, alimentando la speculazione su un’ulteriore falla di sicurezza. Tuttavia, le analisi di fonti investigative hanno confermato che quei file corrispondono esattamente a dati del furto Snowflake già noti da tempo.
La pista di RapeFlake e i legami con Snowflake
Una delle immagini presentava la dicitura “rapeflaked copy 4 quick sale 1 buyer”, un chiaro riferimento a RapeFlake, uno strumento creato su misura dai criminali informatici per mappare e sottrarre informazioni dai database di Snowflake. Questo dettaglio rafforza l’ipotesi che l’origine del materiale non sia recente ma direttamente connessa alle campagne di attacco già documentate.
Gli attacchi Snowflake e le vittime di rilievo
Le offensive ai danni di Snowflake hanno colpito molteplici organizzazioni di rilievo, tra cui Santander, AT&T, Advance Auto Parts, Neiman Marcus, il distretto scolastico di Los Angeles, Pure Storage e Cylance. Il gruppo estorsore noto come ShinyHunters ha rivendicato questi attacchi, realizzati grazie a credenziali Snowflake sottratte tramite infostealer, che hanno permesso di scaricare dati sensibili da usare per ricatti mirati.
Ticketmaster, tra le aziende più coinvolte, ha subito la sottrazione di dati personali e informazioni sui biglietti venduti. Dopo la conferma dell’intrusione da parte dell’azienda e l’avvio delle notifiche agli interessati, i criminali hanno intensificato le minacce pubblicando falsi biglietti stampabili e addirittura irriverenti biglietti riferiti al concerto di Taylor Swift su forum d’hacking.
Il mistero dietro Arkana e la rivendita dei dati
Nonostante Arkana non abbia mai specificato la provenienza esatta dei dati, la ricorrenza delle indicazioni legate a Snowflake e la corrispondenza dei nomi dei file con quelli delle precedenti fughe suggeriscono un tentativo di rivendere materiali già esposti sul mercato nero. Resta incerto se Arkana abbia acquistato questi dati da terzi, li custodisca da tempo o collabori direttamente con ShinyHunters.
Di fatto, l’annuncio della vendita è sparito dalla piattaforma di Arkana il 9 giugno, lasciando spazio a interrogativi sulle dinamiche interne al gruppo e sulle loro strategie di estorsione.
Un passato ingombrante: ShinyHunters dietro molte violazioni
Il nome ShinyHunters torna frequentemente nelle cronache della cybersecurity, associato a violazioni massicce come quella a PowerSchool, dove sono stati sottratti dati di oltre 62 milioni di studenti e quasi 10 milioni di insegnanti in migliaia di distretti scolastici in Nord America e altrove.
Più recentemente, l’azienda di sicurezza mandiant ha attribuito a ShinyHunters una serie di attacchi rivolti agli account Salesforce, con l’obiettivo di rubare informazioni clienti e estorcere le società coinvolte.
Nonostante diversi membri riconducibili al gruppo siano stati arrestati negli ultimi anni, resta incerta l’identità degli attuali attori: si tratta ancora della formazione originaria o di altre fazioni che si spacciano per loro per depistare le indagini?
Il silenzio di Arkana e Ticketmaster
Contattate da fonti investigative, sia arkana che Ticketmaster hanno scelto di non rispondere agli appelli di chiarimento sulla questione, lasciando aperti molti interrogativi in merito all’entità effettiva del rischio e alle prossime mosse del gruppo estorsore.
