Glovo è finita nel mirino degli hacker, e a pagare le conseguenze dell'attacco rischiano di essere - come spesso accade - gli utenti. La vicenda è stata ricostruita dalla società di sicurezza informatica italiana Yarix, che ha intercettato su un "popolare forum e marketplace" una proposta di vendita di un intero database che dentro i suoi 160GB custodisce account, password e dati di pagamento "riconducibili alla multinazionale spagnola Glovo".

Il prezzo al quale viene venduto il database è di 85.000 dollari. Nulla a che vedere con i casi che in passato hanno riguardato Facebook e Twitter, o ancor più nel passato l'eclatante vicenda di Yahoo, ma è certamente un'ennesima dimostrazione di come le informazioni personali - anche le più sensibili - siano esposte ai pericoli della rete. La vicenda è tuttavia contorta, e va dunque ricostruita per evidenziarne i punti salienti.

Partiamo dall'inizio: Glovo è una società fondata a Barcellona nel 2015 che si occupa di consegne di prodotti a domicilio, cibo soprattutto. Tramite l'app gli utenti registrati possono trovare il ristorante preferito presso cui effettuare l'ordine. Il pagamento avviene attraverso l'app stessa.

Per ricostruire l'intera vicenda bisogna fare un piccolo passo indietro, fino ad aprile. Verso la fine del mese si è infatti riscontrata una violazione dei sistemi dell'azienda da parte di un non identificato gruppo di hacker. Una volta avvisata l'agenzia nazionale per la protezione dei dati (che in Spagna si chiama AEPD, Agencia Española Protección Datos), Glovo ha prontamente attuato le misure per la protezione dei propri sistemi informatici tranquillizzando nel contempo i propri utenti: i dati di pagamento non vengono salvati in locale, dunque non possono essere stati rubati dagli hacker.

Subito dopo sul dark web sono apparsi riferimenti relativi alla vendita di dati rubati ad "una grossa catena di Food Delivery": che si tratti di Glovo?

E veniamo ai giorni nostri: Yarix ha scoperto su un popolare marketplace online un database di enormi proporzioni contenente dati personali. Il pacchetto viene proposto a 85 mila dollari e si fa espressamente riferimento a Glovo nella descrizione. Purtroppo non è possibile accedere al suo interno (a meno che non lo si acquisti, ovviamente), dunque la società di sicurezza informatica tiene a precisare che, nonostante tutto porti a pensare che i 160GB siano da ricondurre alla società di consegna a domicilio, non è possibile escludere a priori che si tratti di un falso inscenato dagli hacker per aumentare il valore del "prodotto" messo in vendita. In altre parole: un conto è vendere un database di una realtà sconosciuta, un altro è proporre dati personali afferenti ai clienti di una multinazionale come Glovo.

Sussiste peraltro la possibilità che il riferimento a Glovo sia in realtà una strategia messa in atto dai venditori, per rendere più ‘appetibile’ la propria selling proposition criminosa.

Non c'è dunque la certezza assoluta che i fatti di aprile e quelli di maggio siano da ricondurre alla medesima matrice criminale, né che il database scoperto sul marketplace sia effettivamente da attribuire ai clienti di Glovo. Resta tuttavia valido il consiglio di Yarix di modificare la propria password sull'app e di verificare che non ci siano stati addebiti anomali nelle ultime settimane.