Love Electric: presunta violazione, in vendita 877.000 record di conducenti a 600 dollari

L'account seraphims offre il database, campione di 999 righe

Il 26 agosto 2026 un venditore con account “seraphims” ha dichiarato su un forum in lingua inglese di possedere il database dei conducenti di Love Electric. Love Electric Financial Services Limited è una società scozzese con sede a Edimburgo, registrata presso Companies House con numero SC374952. Opera come amministratore di piani salary sacrifice per veicoli elettrici, broker creditizio regolato dalla FCA e fornitore di servizi per datori di lavoro nel Regno Unito. La sua privacy policy dichiara il trattamento dei dati personali ai sensi della normativa britannica. L'azienda afferma di lavorare con più di 1.500 aziende.

Il venditore ha offerto 877.000 record per 600 dollari in criptovaluta, con prezzo negoziabile. Ha pubblicato un campione gratuito di 999 righe. Ransomnews ha esaminato il campione e lo ha ritenuto compatibile con un database di produzione reale. Tuttavia, la cifra di 877.000 record resta non verificata: è stato osservato solo lo 0,11% del presunto dataset. Love Electric è stata contattata per un commento, ma al momento della pubblicazione non aveva risposto.

Cosa contiene il campione: 24 colonne e dati d'identità non cambiati

Il campione era un CSV di 999 righe con 24 colonne, denominato in modo da indicare un export della tabella dbo.drivers da Microsoft SQL Server. Le colonne includevano identificatori (id, quote_id, user_id), nome, cognome, email, telefono, data di nascita, indirizzo, città, codice postale, numero di National Insurance, numero di patente, flag di consenso, campi temporali e occupazione. Le 999 righe si dividono in 731 conducenti primari e 268 conducenti aggiuntivi. Ci sono esattamente 731 quote ID distinti: ogni quota ha un solo conducente primario e tutti i 268 aggiuntivi fanno riferimento a una quota esistente, senza record orfani.

Il flag di consenso per il National Insurance è vuoto per tutti i 268 conducenti aggiuntivi. È valorizzato per ciascuno dei 731 primari. I numeri di National Insurance compaiono solo sui conducenti primari.

Il popolamento non è uniforme. Circa il 71% delle righe era privo di nome, indirizzo o città. Il 74% era privo di telefono. L'85% era privo di National Insurance. In totale, 147 record contenevano un numero di National Insurance e 287 un numero di patente. La geografia dei codici postali era concentrata su Edimburgo e la Scozia centrale, con record estesi all'Inghilterra. Le date di nascita andavano dal 1946 al 1999, con concentrazione sui nati negli anni '70 e '80.

La verifica delle patenti britanniche ha dato risultati significativi. Su 108 numeri a lunghezza piena, il 98,1% aveva un blocco cognome corrispondente al cognome del record. Il 97,2% aveva un'iniziale corrispondente al nome. Il 78,7% aveva una codifica della data di nascita corrispondente alla data memorizzata. Gli errori residui sono compatibili con inserimenti manuali reali, non con dati sintetici. I numeri di patente apparivano in lunghezze diverse. Solo il 53% dei numeri di National Insurance corrispondeva al formato HMRC atteso. I numeri di telefono erano presenti in tre formati diversi.

Gli indirizzi email appartenevano prevalentemente a domini aziendali britannici riconducibili a datori di lavoro identificabili, a Love Electric stessa o a una società di consulenza software europea. Non erano dominati da provider consumer come Gmail. La struttura del database appariva normale: includeva un campo soft-delete, chiavi esterne intere per quote e occupazioni, valori regionali per Scozia, Inghilterra, Galles e Irlanda del Nord e un record di test “Jane Doe”. Le 999 righe non corrispondono a 999 individui: si riferiscono a 731 quote e a solo 58 combinazioni cognome-data di nascita distinte. Una persona era presente 48 volte.

Il prefisso db2_ nel nome file suggerisce che la tabella potrebbe appartenere a uno tra più database. La cifra di 877.000 potrebbe riferirsi a una raccolta più ampia piuttosto che alla sola tabella dei conducenti.

La rivendicazione di zero-day non regge ai timestamp

Il venditore ha dichiarato un attacco dell'agosto 2026 tramite zero-day su un sistema di terze parti. Tuttavia, tutte le righe del campione riportano un timestamp created_at compreso in una finestra di sei secondi il 14 agosto 2022. Questo pattern è compatibile con una migrazione bulk verso una piattaforma più recente. Non dimostra quando o come i dati siano stati sottratti, né se lo zero-day dichiarato abbia avuto un ruolo.

L'account “seraphims” è stato creato il 22 luglio 2026. Entro il 26 agosto aveva pubblicato nove annunci, circa due a settimana. Diversi erano descritti come scrape più che come breach. Al momento del controllo, l'annuncio su Love Electric non aveva ricevuto risposte e contava solo 52 visualizzazioni. Il punteggio di reputazione dell'account era 30, derivante da un singolo voto positivo del 17 agosto con commento “keep scrapping”.

Ransomnews precisa di non aver effettuato accessi o scansioni sui sistemi di Love Electric, di non aver acquistato il dataset completo e di non aver validato gli identificativi contro servizi attivi. Ha analizzato solo il campione gratuito, rimosso le informazioni identificative dalla pubblicazione e notificato Love Electric prima della divulgazione, offrendo di condividere annuncio e campione con il team di incident response.

Perché National Insurance e patenti rendono il caso serio

I dati esposti includono numeri di National Insurance e numeri di patente. Non possono essere cambiati o sostituiti come una password. Il rischio principale è il phishing mirato. Un attaccante in possesso di nome, data di nascita, indirizzo, datore di lavoro e numero di National Insurance può costruire messaggi più credibili. Può fingersi HMRC, team payroll, datore di lavoro o fornitore di leasing.

Il prezzo di 600 dollari non rappresenta una valutazione seria del valore dei dati. Sembra pensato per una vendita rapida. Se il venditore detiene più del campione pubblicato, più acquirenti possono ottenere le stesse informazioni, ampliando l'esposizione. Il caso evidenzia il rischio legato ai fornitori terzi che trattano dati di identità ad alto valore. Se un provider gestisce numeri di National Insurance, patenti, dati occupazionali e contatti, la sua sicurezza merita lo stesso livello di controllo di qualsiasi sistema interno ad alta sensibilità.

Cosa fare per conducenti, clienti e responsabili sicurezza

I conducenti che hanno usato Love Electric dovrebbero considerare sospetti messaggi imprevisti riguardanti schemi veicolari, buste paga o questioni fiscali. Dovrebbero verificare il mittente tramite un numero di telefono o sito web già fidato, senza usare i contatti contenuti nel messaggio. Fino a verifica, il numero di 877.000 record non va trattato come confermato. La genuinità del campione e il numero complessivo di record controllati dal venditore sono questioni separate.

L'indagine dovrebbe verificare l'eventuale accesso tramite terze parti citato dal venditore e la migrazione legacy del 14 agosto 2022. Non deve assumere come fatto la rivendicazione di zero-day. Per le aziende clienti e per i responsabili di sicurezza, il caso va considerato come un problema operativo di gestione dei fornitori. Serve una revisione dei controlli su chi tratta dati d'identità ad alto valore. Le procedure di notifica vanno attivate solo dopo opportuna verifica.