Negli scorsi giorni un annuncio comparso su un forum dedicato alla compravendita di dati rubati ha acceso i riflettori su una presunta, gigantesca fuga di informazioni che riguarderebbe la piattaforma OnlyFans. Una persona che si firma con lo pseudonimo "Euphoric_Reply_5727" sostiene di possedere e voler vendere, per circa 0,313 bitcoin, un database contenente 340 milioni di record relativi ad account della piattaforma.
Cosa conterrebbe il pacchetto di dati
Secondo quanto riportato dall'annuncio, l'archivio includerebbe nomi utente, date di iscrizione, indirizzi email, numero di follower, conteggi di "mi piace", quantità di immagini e video pubblicati, numero di dirette streaming effettuate, dati di pagamento e collegamenti ad altri profili social. Una combinazione di informazioni che, se autentica e completa, permetterebbe di ricostruire in modo piuttosto dettagliato l'identità e le abitudini di milioni di persone, sia tra il pubblico della piattaforma sia tra chi vi pubblica contenuti.
Una violazione vera o un assemblaggio di vecchi dati?
C'è però un dettaglio che cambia parecchio la prospettiva: lo stesso venditore non sostiene di aver violato direttamente i sistemi di OnlyFans. Al contrario, rivendica di aver costruito il database incrociando informazioni provenienti da fughe di dati precedenti, da fonti pubblicamente accessibili e da altre violazioni di sicurezza già note, comprese raccolte di dati legate a piattaforme come Twitter, Instagram e Spotify che circolano da anni nel sottobosco del cybercrimine.
In pratica, secondo questa ricostruzione, non si tratterebbe di un attacco diretto alla piattaforma per adulti, ma di un lavoro di "cucitura" tra dataset diversi, tenuti insieme da informazioni di profilo pubblicamente visibili. Da parte sua, un portavoce di OnlyFans ha dichiarato che, in base alle informazioni disponibili, queste segnalazioni risultano false, e diversi analisti del settore si sono detti scettici sulla reale portata dell'episodio.
Perché il rischio resta concreto comunque
Anche ammettendo che non si tratti di una violazione diretta dei sistemi della piattaforma, gli esperti invitano a non archiviare la vicenda come un semplice bluff. Il fatto stesso che sia possibile mettere insieme nomi utente, indirizzi email, numeri di telefono e account social provenienti da fonti diverse, e collegarli tra loro, costituisce di per sé un rischio concreto: questo tipo di "profilazione incrociata" è terreno fertile per campagne di phishing mirate, tentativi di estorsione e ricatto, attività di stalking, furti d'identità e azioni di molestia indirizzate contro persone specifiche.
Per chi utilizza piattaforme che custodiscono dati sensibili, l'episodio è un promemoria sull'importanza di adottare l'autenticazione a due fattori, di usare indirizzi email dedicati per servizi delicati e di prestare particolare attenzione a messaggi sospetti che richiamano dettagli personali apparentemente "confermati" da fonti esterne: spesso sono proprio queste informazioni, raccolte da fughe di dati passate, lo strumento con cui i truffatori cercano di guadagnare credibilità agli occhi delle vittime.
