Blog

Feb 26, 2024

Luxottica conferma la violazione dei dati del 2021 dopo che informazioni su 70 milioni di persone sono trapelate online

Luxottica ha confermato che uno dei suoi partner ha subito una violazione dei dati nel 2021 che ha esposto le informazioni personali di 70 milioni di clienti dopo che questo mese è stato pubblicato gratuitamente un database sull'hacking

Luxottica ha confermato che uno dei suoi partner ha subito una violazione dei dati nel 2021 che ha esposto le informazioni personali di 70 milioni di clienti dopo che un database è stato pubblicato questo mese gratuitamente sui forum di hacking.

Luxottica è la più grande azienda mondiale di occhiali, occhiali e montature da vista e proprietaria di marchi famosi come Ray-Ban, Oakley, Chanel, Prada, Versace, Dolce e Gabbana, Burberry, Giorgio Armani, Michael Kors e molti altri. La società gestisce anche Eyemed, una compagnia di assicurazioni sulla vista negli Stati Uniti.

Nel novembre 2022, un membro dell'ormai defunto forum di hacker "Breached" ha tentato di vendere quello che sosteneva essere un database del 2021 contenente 300 milioni di record di informazioni personali relative ai clienti Luxottica negli Stati Uniti e in Canada.

Secondo il venditore, il database conteneva informazioni personali dei clienti, come indirizzi e-mail, nome e cognome, indirizzi e data di nascita.

All'epoca il dump era stato offerto per una vendita privata su Breached, quindi non era chiaro se i dati fossero stati rubati in un nuovo attacco o durante due attacchi da cui l'azienda è stata colpita nel 2020.

Luxottica ha subito una violazione dei dati nell'agosto 2020 che ha esposto le informazioni personali di 829.454 pazienti di EyeMed e Lenscrafters. Il mese successivo, Luxottica ha subito nuovamente un attacco, questa volta un attacco ransomware che ha bloccato le attività dell'azienda in Italia e Cina.

Tuttavia, più recentemente, il database è stato divulgato nella sua interezza gratuitamente il 30 aprile e il 12 maggio 2023 su diversi forum di hacker, rendendo i dati molto più accessibili agli autori delle minacce.

Andrea Draghetti, ricercatore leader della società italiana di sicurezza informatica D3Lab, ha analizzato i dati trapelati e ha confermato a BleepingComputer che contengono 305 milioni di righe, 74,4 milioni di indirizzi e-mail univoci e 2,6 milioni di indirizzi e-mail di dominio univoci.

Draghetti ha anche stabilito che la data di esfiltrazione fosse il 16 marzo 2021, sulla base dei record del database più recenti, il che significa che i dati probabilmente provenivano da una violazione dei dati precedentemente non divulgata.

Dopo che BleepingComputer ha contattato Luxottica in merito ai dati pubblicati, l'azienda ha confermato che i dati trapelati provenivano da un incidente di sicurezza che ha avuto un impatto su un appaltatore terzo che deteneva i dati dei clienti.

L'azienda ha aggiunto che l'indagine sull'incidente è ancora in corso. Tuttavia, è già stato stabilito che i dati esposti contengono nomi completi dei clienti, e-mail, numeri di telefono, indirizzi e date di nascita.

“Abbiamo scoperto attraverso le nostre procedure di monitoraggio proattivo che alcuni dati sui clienti al dettaglio, presumibilmente ottenuti tramite una terza parte correlata ai clienti al dettaglio Luxottica, erano stati pubblicati in un post online.

Abbiamo immediatamente denunciato l'accaduto all'FBI e alla Polizia italiana. Il proprietario del sito web in cui sono stati pubblicati i dati è stato arrestato dall'FBI, il sito web è stato chiuso e le indagini sono in corso. È stato informato anche il Garante per la protezione dei dati personali italiano e stiamo valutando altri obblighi di notifica.

Dalla nostra indagine, ancora in corso, sappiamo finora che i dati consistono principalmente nei dettagli di contatto dei clienti, inclusi nomi, indirizzi, numeri di telefono, e-mail e date di nascita. I dati non includono informazioni finanziarie individuali, numeri di previdenza sociale, dati di accesso o password o altre informazioni che potrebbero compromettere la sicurezza dei nostri clienti.

EssilorLuxottica resta fiduciosa che i suoi sistemi non siano stati violati e che la sua rete rimanga sicura”. - Luxottica

Alla domanda su quando si sono resi conto per la prima volta della violazione, un portavoce di Luxottica ha risposto: “Abbiamo appreso dell’incidente per la prima volta da un post di terze parti sul dark web nel novembre 2022”.

Troy Hunt, il proprietario del servizio di notifica di violazione dei dati "Have I Been Pwned" (HIBP), ha dichiarato a BleepingComputer che i dati trapelati includono 77.093.812 account unici, il 74% dei quali sono già nei registri della piattaforma.

Hunt ci ha detto che HIBP invierà oggi oltre 320.000 avvisi di violazione agli abbonati della piattaforma riguardanti la violazione dei dati di Luxottica del 2021.