Violato il database del PD Network Emilia Romagna. Dati in chiaro, ma il danno è enorme: 220 database esposti

Data di nascita? Varchar 255! Per i non addetti ai lavori è un dato incomprensibile, ma per chi mastica database a colazione è come mangiare un muffin ammuffito accompagnato da un cappuccino con latte scaduto. Il problema non è tanto questo, quanto la violazione di uno dei database del Partito Democratico che ha portato alla scoperta di questo dettaglio. A renderlo noto è Nicola Vanin attraverso un suo post su Linkedin:

Attenzione, dalle ore 20:05 di oggi #6Ottobre sono online numerosi database contenenti dati #personali di utenti riconducibili a #tesserati e iscritti al Partito Democratico #PD
-Informazioni in chiaro
-Attendibilita dati esfiltrati: Alta
-Fonte: Anonymous
Polizia #CyberSecurity #Gdpr

Vanin, Senior Manager Data Governance and Information Security del gruppo TIM SpA, riporta che il leak diffuso online contiene numerosi dati personali riconducibili ai tesserati del Partito Democratico. La fonte è senz’altro Anonymous e dal sito in italiano troviamo tutti gli elementi del caso.

Eccezion fatta per il sito del PD Empoli, sito violato con un post riportante l’immagine usata da Anonymous Italia nel suo blog, gli altri siti presi d’assalto sono stati quelli del PD dell’Emilia Romagna:

• pder.it
• pdrimini.it
• pdparma.it
• pdreggioemilia.it
• pdpiacenza.it
• pdcesena.it
• gder.it

I dati forniti da Anonymous

Nel blog vengono allegati diversi link a Privatebin con le informazioni delle tabelle dei database. Tra questi anche la tabella riportata da Vanin nel suo post Linkedin con numeri di cellulare, email e quant’altro sui tesserati del Partito Democratico in Emilia Romagna:

La tabella «iscrizionipder» contiene i dati personali degli iscritti, mentre la tabella «tesseramento» riporta non solo nome, cognome, data di nascita, email, luogo di nascita e l’esito del pagamento. Ci sono anche gli importi di cui alcuni si aggirano intorno ai 1.500 e 3.000 euro:

Molte le curiosità, come la tabella «versamentionline» del database «pdrimini» dove è presente anche il pagamento in test di «Pinco Pallino».

Il problema, tuttavia, non riguarda solo il Partito Democratico. La violazione ha portato alla diffusione online di 220 database di altrettanti siti internet.

Cosa è successo? Solite SQL Injection

Pawel Zorzan Urban, Hacker ed Esperto in Cyber Security contattato da Open e chiamato in causa da Vanin nel suo post, ci spiega cosa può essere successo: «Gli attaccanti sono entrati nel DB del server in hosting ottenendo accesso a tutti i database partendo da index.html?idpg= (PAYLOAD SQL Injection). Da questo hanno ottenuto tutti i 220 database privati presenti del servizio di hosting. Tutto questo perchè il sito è stato sviluppato con tecnologie obsolete e mai controllato da esperti di Cyber Security mediante Penetration Test».

220 database esposti

Anonymous se la prende in particolar modo con il Partito Democratico, ma nel primo dei Privatebin pubblicati c’è l’elenco di tutti i database da loro ottenuti.

Ben 220 database dove troviamo quelli del Partito Democratico e di altre realtà. Una in particolare viene riportata spesso all’interno del file pubblicato da Anonymous, quella della società Antherica:

available databases [220]:

[*] _amltest
[*] _antherica_db
[*] _anthericamail
[*] _anthsuite
[*] _cms_setting
[*] _kannel_sms
[*] _lead_maker
[*] _manual_newsletter
[*] _sqlinjections
[*] _system_manager
[*] _system_manual
[*] `5piccoledita`
[*] adam
[*] albergosanpietro
[*] angamc
[*] antherica
[*] antherica_eshop
[*] anthericach
[*] anthericacreditcard
[*] appgirafeste
[*] archiviogaibazzi

Dal sito della stessa società riscontriamo nell’area «Portfolio» i loro clienti, tra questi il Partito Democratico Emilia Romagna e tanti altri:

Nel primo dei Privatebin pubblicati da Anonymous troviamo il database «_cms_setting» con la tabella «users» riportante nomi, cognomi, email, cellulari, username e password (per fortuna non in chiaro) dei dipendenti – alcuni ex, controllando uno a uno su Linkedin – della società emiliana:

Oltre al PD

Nei Privatebin pubblicati da Anonymous troviamo email e contatti di diverse persone, aziendali e non. Sono presenti i dati in chiaro di utenti aventi email di società come la CNA Servizio Estero Srl (di cui sono presenti i database «cnacrm» e «newsletter_cnase»), la Alpiq (di cui sono presenti i database «newsletter_smsalpiq» e «crm_alpiq») e la Società Cattolica di Reggio Emilia (di cui è presente il database «cattolicacostruzioni»). L’elenco dei database è lungo:

available databases [220]:
[*] _amltest
[*] _antherica_db
[*] _anthericamail
[*] _anthsuite
[*] _cms_setting
[*] _kannel_sms
[*] _lead_maker
[*] _manual_newsletter
[*] _sqlinjections
[*] _system_manager
[*] _system_manual
[*] `5piccoledita`
[*] adam
[*] albergosanpietro
[*] angamc
[*] antherica
[*] antherica_eshop
[*] anthericach
[*] anthericacreditcard
[*] appgirafeste
[*] archiviogaibazzi
[*] arcireapp
[*] automax
[*] azzurratecnology
[*] baiataacademy
[*] bfmrweb
[*] bikenetwork
[*] bonilauricantarelli
[*] born2run
[*] carpiargento
[*] carpigianicgu
[*] carpigianigelatomuseum
[*] carpigianigelatouniversity
[*] carpigianiportal
[*] carpigianiservice
[*] casaleleselve
[*] cattolicacostruzioni
[*] cerpaprogettazione
[*] ciaocorreggio
[*] cinemart
[*] cnacrm
[*] costruzionialfieri
[*] cresceresaniportal
[*] cresceresaniportaltmp
[*] cribaer_prodotti
[*] cribaprodotti
[*] crm_alpiq
[*] crovi_raffaele
[*] dlrmblox
[*] dtrckit
[*] ecommerce024
[*] electrofreeze
[*] emailtosms
[*] fontane
[*] freezeandgo
[*] furrerconsulting
[*] gbgslush
[*] gder
[*] guarnerishop
[*] gweportal
[*] idemocratici
[*] ikonacosmetics
[*] ilpresidentelosceglitu
[*] immerclima
[*] improntadartista
[*] indagine
[*] information_schema
[*] laboratoriosanlazzaro
[*] lanicchia
[*] lanicchiaeshop
[*] lanicchiaportal
[*] lanicchiashop
[*] lazzaro_spallanzani
[*] lead_anthericasms
[*] lead_camer
[*] lead_camer2018bis
[*] lead_camer_eventi2018
[*] lead_camer_mostra2018
[*] lead_carriereitalia
[*] lead_guidomaronati
[*] lead_gwetoppik
[*] lead_gwetoppikb2b
[*] lead_mastoplastica
[*] lead_renaultmonza
[*] lead_risarcimentofacile
[*] leadanthericamail
[*] luccatriathlon
[*] marcarelli
[*] motormix
[*] multimecc
[*] mysql
[*] nadiaconticelli
[*] newsletter_altacosmesi
[*] newsletter_anci_piemonte
[*] newsletter_antherica
[*] newsletter_anthericatest
[*] newsletter_arcadinoe
[*] newsletter_arci
[*] newsletter_arcinuovaassociazione
[*] newsletter_baiataacademy
[*] newsletter_bluesolution
[*] newsletter_carpigianiportal
[*] newsletter_cgmuseum
[*] newsletter_cnase
[*] newsletter_comunifioriti
[*] newsletter_conbipelf
[*] newsletter_conforti
[*] newsletter_costaest
[*] newsletter_csp
[*] newsletter_danysfashion
[*] newsletter_dotrackit
[*] newsletter_elettric80
[*] newsletter_Emmegi
[*] newsletter_fieradigenova
[*] newsletter_gamacmo
[*] newsletter_giraldi
[*] newsletter_glc
[*] newsletter_glcadmo
[*] newsletter_gwe
[*] newsletter_gweinternational_ufficiale
[*] newsletter_ikona
[*] newsletter_immerclima
[*] newsletter_invalsi
[*] newsletter_lagrandevia
[*] newsletter_lanicchiaportal
[*] newsletter_messa
[*] newsletter_motormix
[*] newsletter_nadiaconticelli
[*] newsletter_niccoliarte
[*] newsletter_paperlynen
[*] newsletter_paricol
[*] newsletter_pder
[*] newsletter_pdpc
[*] newsletter_pdpr
[*] newsletter_peterpan
[*] newsletter_peterpanmirano
[*] newsletter_plecosmetica
[*] newsletter_portaledeglisms
[*] newsletter_portaledellabioedilizia
[*] newsletter_prinkre
[*] newsletter_scc
[*] newsletter_smsalpiq
[*] newsletter_smsaltacosmesi
[*] newsletter_smsantherica
[*] newsletter_smsarcadinoe
[*] newsletter_smsarcirenuovaassociazione
[*] newsletter_smsbaiataacademy
[*] newsletter_smsbluerobeganese
[*] newsletter_smsblueslbusetto
[*] newsletter_smsbluzeronovanta
[*] newsletter_smsbodylinesun
[*] newsletter_smsdbdibattesrl
[*] newsletter_smsdogandcompany
[*] newsletter_smsglc
[*] newsletter_smsglc_danysfashion
[*] newsletter_smsglcadmo
[*] newsletter_smsglcappalbi
[*] newsletter_smsglcfoltranauto
[*] newsletter_smsglcnubramedica
[*] newsletter_smsglcsanzeno
[*] newsletter_smsglcsportivando
[*] newsletter_smsglcsunrisealbignasego
[*] newsletter_smsglcsunrisegoito
[*] newsletter_smsglcsunriselendinara
[*] newsletter_smsglcsunrisemarcon
[*] newsletter_smsglcsunrisemarghera
[*] newsletter_smsglcsunrisemestre
[*] newsletter_smsglcsunrisepioveds
[*] newsletter_smsglcsunriserisorgimento
[*] newsletter_smsimmerclima
[*] newsletter_smsmaccaferri
[*] newsletter_smsmamasun
[*] newsletter_smsmariacosti
[*] newsletter_smsmessa
[*] newsletter_smsparicol
[*] newsletter_smspeterpan
[*] newsletter_smsplecosmetica
[*] newsletter_smsprinkre
[*] newsletter_smstikisun
[*] newsletter_smswesponsors
[*] newsletter_studiotre
[*] newsletter_taylor
[*] newsletter_tennisrun
[*] newsletter_teseofor
[*] newsletter_vocedicarpi
[*] newsletter_wingsoft
[*] newsletter_wsbolleblu
[*] newsletter_wsstudiofulcro
[*] nobilpan
[*] paperlynen_2
[*] pdcesena
[*] pder
[*] pderportal
[*] pdparmanew
[*] pdpiacenza
[*] pdreggioemilia
[*] pdrimini
[*] plecosmetica
[*] plecosmeticasrl
[*] portaledeglisms
[*] portaledellabioedilizia
[*] postfix
[*] premiodaolio2014
[*] premiodaolio2015
[*] premiodaolio2016
[*] premiodaolio2017
[*] premiodaolio2018
[*] prinkre
[*] risarcimentofacile
[*] roundcubemail
[*] scriptamaneant
[*] servicemonitor
[*] tennisrun
[*] test
[*] torreggiani
[*] torreggianiservizi
[*] usgirls
[*] vrmotorsportal
[*] web02_demo
[*] world_dimension_db