Il gruppo di cybercriminali ShinyHunters è tornato a fare notizia con una nuova rivendicazione ad alto impatto: questa volta nel mirino c'è JCPenney, il noto marchio americano della grande distribuzione, insieme ad altri brand che operano sotto l'ombrello di Catalyst Brands e Authentic Brands Group.
I dettagli della rivendicazione
Il post è comparso sul sito delle fughe del gruppo il 12 giugno 2026. Secondo quanto affermato da ShinyHunters, sarebbero stati sottratti "centinaia di migliaia" di record contenenti dati estremamente sensibili: numeri di previdenza sociale (SSN), date di nascita, documenti W-2 fiscali, dati retributivi e copie digitalizzate di documenti d'identità come patenti di guida. Se confermato, si tratterebbe di una delle violazioni più gravi per tipologia di dati coinvolti nel 2026.
Il gruppo ha fissato una scadenza: le aziende colpite avevano tempo fino al 15 giugno 2026 — oggi — per mettersi in contatto. In caso contrario, i dati sarebbero stati pubblicati o messi in vendita.
È importante sottolineare che, al momento, la rivendicazione proviene esclusivamente dal gruppo criminale e non è stata confermata ufficialmente né da JCPenney né dalle altre società coinvolte.
Chi sono ShinyHunters
ShinyHunters è uno dei gruppi più attivi e prolifi nel panorama delle estorsioni cyber degli ultimi anni. Negli scorsi mesi avevano già sfruttato una vulnerabilità zero-day in Oracle PeopleSoft per compromettere decine di organizzazioni, in particolare università, in un'operazione attribuita dalla società Mandiant al gruppo UNC6240. La loro firma è spesso quella dell'esfiltrazione massiva di dati seguita da una richiesta di riscatto con minaccia di pubblicazione.
Perché questa vicenda è rilevante anche in Europa
Sebbene JCPenney operi principalmente negli Stati Uniti, il caso è rilevante per due motivi. Il primo riguarda la tipologia di dati: SSN, documenti fiscali e copie di documenti d'identità sono esattamente il tipo di informazioni che alimentano il mercato del furto d'identità, con ricadute che possono colpire le vittime per anni. Il secondo riguarda il metodo: la combinazione di esfiltrazione di dati e minaccia di pubblicazione (double extortion) è ormai la tattica dominante nel ransomware e nelle operazioni di estorsione, e segue schemi che le autorità europee — tra cui il Garante Privacy italiano — monitorano con crescente attenzione.
Le organizzazioni che gestiscono dati personali sensibili dovrebbero usare questo caso come spunto per verificare i propri meccanismi di rilevamento delle esfiltazioni e i piani di risposta agli incidenti, in particolare per quanto riguarda i tempi di notifica alle autorità competenti previsti dal GDPR.
