È stato hackerato il sito CryptoTrader.Tax che consente di calcolare le tasse da pagare sulle movimentazioni in criptovalute in vari paesi nel mondo.
Il sito consente anche di scaricare il proprio rapporto fiscale, pertanto richiede e conserva dati personali.
Pare che l’hacker fosse in cerca proprio di questo, ovvero dei dati personali degli utenti registrati al sito. Infatti risulterebbe aver rubato dati di più di mille utenti registrati sul sito.
Per farlo sarebbe riuscito ad accedere alla piattaforma del supporto del sito grazie ad un account da addetto al marketing ed al servizio clienti. Con questo accesso l’hacker ha potuto vedere i nomi, gli indirizzi e-mail, i profili dei processori di pagamento ed i messaggi degli utenti.
Una volta acquisite queste informazioni, le ha parzialmente pubblicate su un forum nel dark web per invogliare potenziali acquirenti ad acquistarli.
Come è avvenuto l’hack a CryptoTrader.Tax
L’hack è stato confermato dal co-fondatore e CEO di CryptoTrader.Tax, David Kemmerer, rivelando che l’accesso non autorizzato è avvenuto il 7 aprile scorso con un account di un dipendente del servizio clienti.
Ha anche confermato che l’hacker ha scaricato un file contenente 13.000 righe di informazioni, inclusi 1.082 indirizzi e-mail, ed ha avuto accesso ad informazioni come le entrate degli utenti derivanti da commissioni e ricavi sulle affiliazioni.
Da un’indagine interna della società è emerso che l’hacker non avrebbe avuto accesso alle password degli utenti, e nessun account utente sarebbe stato compromesso.
La società dichiara di aver adottato nuove misure per migliorare la sicurezza del sito, ed i sistemi di monitoraggio.
Questo hack per certi versi assomiglia a quello che ha colpito Twitter il 15 luglio. In un periodo in cui moltissimi operatori di piattaforme online lavorano in smart working, ovvero da remoto, non dovrebbe stupire più di tanto se attacchi di questo tipo dovessero aumentare.
Potrebbe infatti non essere particolarmente difficile aggirare le protezioni grazie ad attacchi di social engineering rivolti verso dipendenti dotati di credenziali di accesso alle piattaforme di supporto o di gestione.
Infatti è molto difficile per le società controllare l’operatività concreta dei propri dipendenti quando questi lavorano in smart working, ed in caso di dipendenti non particolarmente accorti, potrebbe non essere molto difficile per hacker esperti riuscire ad impossessarsi delle loro credenziali di accesso, o addirittura farsele consegnare inconsapevolmente dai dipendenti stessi.
