Una società di property management londinese ha avvertito centinaia di proprietari che i loro dati bancari, le password e persino i codici per accedere alle chiavi delle case potrebbero essere finiti nelle mani di sconosciuti. La violazione dati immobili a Londra riguarda City Relay, che si descrive come la più affidabile azienda di gestione immobiliare della capitale britannica, e che ha subito due intrusioni distinte nella sua istanza cloud di Metabase a causa di una vulnerabilità del sistema che l’azienda dice di non conoscere prima dell’attacco.
Punti chiave
- City Relay ha subito due compromissioni della sua istanza Metabase Cloud per una vulnerabilità della piattaforma non identificata in precedenza.
- I dati potenzialmente esposti includono nomi, indirizzi, numeri di telefono, informazioni finanziarie, password e codici di accesso alle proprietà.
- Tra i dati finanziari compromessi ci sono numeri di conto bancario, IBAN, codici SWIFT e nominativi dei titolari.
- L’azienda ha notificato i clienti il 14 settembre e ha aggiornato immediatamente i codici di accesso e delle cassette portachiavi.
- Non risultano finora prove di accessi non autorizzati alle proprietà o di uso improprio dei dati sottratti.
Panoramica sulla violazione Cloud di City Relay Metabase
City Relay ha comunicato ai proprietari, tramite una email vista dal Register, che gli attaccanti sono riusciti ad accedere due volte al servizio cloud fornito da terze parti “a causa di una vulnerabilità della piattaforma di cui non eravamo consapevoli”. Nel messaggio inviato ai clienti si legge che dati personali sono stati estratti dalla piattaforma, confermando l’entità della falla di sicurezza.
Dettagli del doppio attacco
L’aspetto più preoccupante di questa vicenda è che l’intrusione non è avvenuta una sola volta, ma due, sfruttando la stessa lacuna nella piattaforma Metabase. Questo dettaglio pone interrogativi sulla capacità dell’azienda di individuare e correggere rapidamente le vulnerabilità dopo il primo accesso non autorizzato, un elemento che pesa sulla valutazione complessiva della gestione della sicurezza da parte di City Relay.
Tipologie di dati esposti
I dati potenzialmente compromessi sulla piattaforma comprendono nomi, indirizzi email e fisici, numeri di telefono, informazioni finanziarie, dettagli di accesso alle proprietà e password degli account. Sul fronte finanziario, City Relay ha confermato che l’esposizione riguarda numeri di conto bancario, codici di ordinamento (sort code), IBAN, riferimenti SWIFT, oltre a nomi e indirizzi dei titolari dei conti.
Ancora più delicato è il rischio legato alla sicurezza fisica: gli attaccanti potrebbero aver ottenuto informazioni sulle dotazioni degli immobili e sull’accesso agli stessi, incluse le posizioni delle chiavi conservate e i codici delle cassette di sicurezza (lockbox) che le contengono. Questo trasforma un incidente informatico in un potenziale problema di sicurezza fisica reale per gli appartamenti gestiti dall’azienda.
Risposta aziendale e indagini in corso
City Relay ha agito rapidamente una volta scoperta la violazione, aggiornando i codici di accesso compromessi e avviando un’indagine con esperti esterni. Secondo una fonte citata dal Register, l’azienda avrebbe scoperto l’intrusione l’8 settembre e avrebbe notificato i clienti coinvolti il 14 settembre.
Notifica e misure di mitigazione
Nelle email inviate ai clienti, l’azienda ha spiegato: “Poiché potenzialmente erano incluse informazioni sull’accesso alle proprietà e sulla conservazione delle chiavi, abbiamo immediatamente adottato misure precauzionali per aggiornare i relativi codici di accesso e di conservazione delle chiavi”. City Relay ha aggiunto che questo lavoro è stato completato e che i codici precedentemente esposti non possono più essere utilizzati. Oltre ai rischi fisici immediati, l’azienda ha invitato i clienti a controllare i propri conti bancari per transazioni sospette, a fare attenzione a tentativi di phishing e ad altre truffe, e a cambiare eventuali password riutilizzate su altri account.
Azioni forensi e regolamentari in corso
City Relay ha dichiarato di non aver trovato finora prove che i dati esposti siano stati utilizzati in modo improprio, sottolineando: “Non abbiamo evidenze di alcun accesso non autorizzato alle proprietà derivante dall’incidente”. L’azienda ha specificato che sta continuando a indagare insieme a specialisti di cybersecurity e alle autorità competenti per stabilire la piena portata dell’attacco. Non è stato invece precisato quanti clienti siano stati coinvolti a Londra o a Parigi, dove City Relay opera anch’essa, né il numero esatto delle proprietà interessate dalla vicenda.
Contesto di sicurezza e opinioni degli esperti
La domanda che resta aperta è se questa vulnerabilità Metabase Cloud sfruttata contro City Relay sia collegata a un problema già noto e affrontato dal fornitore del servizio nelle settimane precedenti. Metabase, infatti, aveva già reso pubblica una falla critica pochi settimane prima dell’incidente londinese.
Vulnerabilità zero-day SQL injection in Metabase corretta ad agosto
Il 6 agosto Metabase ha reso nota una vulnerabilità zero-day di tipo SQL injection, affermando che gli attaccanti erano riusciti a compromettere meno del 3% dei suoi clienti prima che le correzioni venissero distribuite automaticamente. Tra le vittime note di quella campagna figurano il produttore di laptop Framework e la piattaforma di automazione dei flussi di lavoro n8n. Metabase, tuttavia, non ha confermato se l’incidente che ha colpito City Relay facesse parte di quella stessa ondata di attacchi, lasciando quindi in sospeso il collegamento diretto tra le due vicende.
Avvertimenti di esperti su protezione dati e password leggibili
Dray Agha, senior manager delle operazioni di sicurezza presso Huntress, ha spiegato che Metabase si collega ai database dei clienti, quindi le informazioni esposte in un attacco dipendono dall’accesso che ciascun cliente ha concesso allo strumento. “Un’azienda che collega Metabase a un database di analisi generico esporrà solo metriche utente innocue”, ha detto Agha. “Un’azienda che lo collega direttamente al proprio database transazionale principale rischia di esporre record finanziari e credenziali altamente sensibili.”
Agha ha anche osservato che, se le password e i dettagli finanziari esposti fossero stati conservati in forma leggibile, ciò indicherebbe pratiche di protezione dei dati inadeguate. Come ha sottolineato: “I dettagli finanziari sensibili dovrebbero essere crittografati o tokenizzati quando conservati in un database. Mantenere queste informazioni leggibili crea un rischio enorme se uno strumento di reporting collegato viene mai compromesso.” Questo tipo di episodio mostra quanto la cybersecurity per locatori e per le piattaforme di gestione immobiliare resti un terreno fragile, dove la comodità di strumenti di analisi terzi può trasformarsi in un punto d’ingresso critico per chi vuole colpire dati sensibili su larga scala.
FAQ
Quali dati sono stati esposti nella violazione di City Relay?
Gli attaccanti potrebbero aver avuto accesso a informazioni personali tra cui nomi, indirizzi, numeri di telefono, dettagli finanziari, password e codici di accesso alle proprietà.
Ci sono prove di un uso improprio dei dati sottratti?
City Relay ha riferito di non aver riscontrato finora alcuna prova di accesso non autorizzato alle proprietà o di uso improprio dei dati esposti.
Quando City Relay ha informato i clienti e quali azioni ha adottato?
City Relay ha notificato i clienti il 14 settembre e ha immediatamente aggiornato i codici di accesso e di conservazione delle chiavi per prevenire eventuali abusi.
Quale vulnerabilità di sicurezza è collegata a questa violazione?
Metabase ha reso nota una falla zero-day di tipo SQL injection risolta il 6 agosto, ma non è chiaro se sia stata la causa di questo specifico incidente che ha coinvolto City Relay.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.