Presunto database di Condé Nast con 32,8 milioni di record utente offerto a 15.000 dollari

Un annuncio sul cybercrime sostiene di contenere milioni di record mai divulgati prima

Un database che conterrebbe 32.815.767 record unici di utenti di Condé Nast è offerto a 15.000 dollari su un forum russofono dedicato al cybercrime. Secondo quanto riferito, l’annuncio è comparso il 7 settembre 2026.

Il venditore descrive il database come la raccolta completa associata alla precedente fuga di dati di WIRED. A quanto sostiene, includerebbe circa 30,5 milioni di record mai divulgati pubblicamente.

Potrebbero essere coinvolti utenti collegati a Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair e altre pubblicazioni di Condé Nast. Condé Nast non ha confermato pubblicamente né la violazione, né l’annuncio sul marketplace, né l’autenticità dell’intero database.

Ransomnews ha esaminato un campione di 5.000 record e ha rilevato caratteristiche compatibili con dati autentici relativi ad account consumer raccolti nell’arco di molti anni. La valutazione si è basata sulla coerenza interna, sull’accuratezza geografica e sulle informazioni storiche degli account, non su tentativi di accedere ad account Condé Nast attivi.

L’analisi supporta le dichiarazioni del venditore, ma non autentica in modo conclusivo tutti i 32,8 milioni di record. Inoltre, non stabilisce chi abbia ottenuto originariamente le informazioni.

Cosa conterrebbe il database pubblicizzato

Secondo quanto dichiarato, ogni record contiene un indirizzo email univoco. Ulteriori dati identificativi e di contatto sono presenti solo in alcune parti della raccolta:

• Il 31,6% conterrebbe sia il nome sia il cognome.
• Il 22,3% includerebbe un indirizzo postale.
• Il 17,5% conterrebbe informazioni sul genere.
• Il 12,6% includerebbe una data di nascita.
• Il 2,9% conterrebbe un numero di telefono.

Nel materiale esaminato non sono state identificate password, hash delle password, nomi utente o dati relativi a carte di pagamento. Questo limita il rischio immediato di acquisizione diretta degli account, ma non rende innocue le informazioni.

Il valore del database risiede nella possibilità di correlare i dati. Un criminale potrebbe filtrare i record contenenti nome e cognome, indirizzo e data di nascita, per poi combinare questi attributi con informazioni provenienti da altre violazioni o da archivi commerciali. Anche un profilo parziale può rendere molto più convincente un messaggio fraudolento.

Il venditore pubblicizza anche una versione che esclude i record di WIRED. Questa raccolta conterrebbe, a quanto sostiene, 30.455.594 voci, il che implicherebbe che circa 2,36 milioni di record siano associati a WIRED.

La cifra è molto simile ai 2.366.576 record di WIRED divulgati pubblicamente nel dicembre 2025. Questa corrispondenza numerica collega il nuovo annuncio al precedente incidente, anche se non dimostra che il venditore sul marketplace sia l’autore originale dell’attacco.

Gli scenari possibili includono una vendita diretta da parte dell’intruso, la rivendita da parte di un intermediario oppure la redistribuzione da parte di qualcuno che ha ottenuto i dati dopo la compromissione iniziale.

I test sul campione ne supportano l’autenticità, ma non forniscono conferme

L’esame condotto da Ransomnews ha rilevato che i tassi di compilazione dei campi nel campione di 5.000 record differivano al massimo di 1,2 punti percentuali da quelli pubblicizzati dal venditore.

Anche le corrispondenze tra nomi e indirizzi email sono risultate significative. Tra i record contenenti nomi completi, il 61,9% utilizzava un indirizzo email corrispondente al nome o alle iniziali della persona. Quando i nomi venivano scambiati casualmente tra i record, la percentuale scendeva allo 0,3%.

Questa netta riduzione suggerisce che nomi e indirizzi email siano stati associati in modo organico, anziché assemblati casualmente.

Il campione ha superato anche diversi controlli temporali e geografici. Nessuno dei 227 record che utilizzavano indirizzi Apple Relay, iCloud, Outlook, Me.com o Proton sembrava antecedente ai relativi servizi email. Tra i record statunitensi, il 96,4% dei codici ZIP corrispondeva allo Stato indicato, mentre il 93,5% corrispondeva alla città dichiarata.

I dati presentavano irregolarità comuni nei database di lunga durata alimentati tramite moduli online. Tra gli esempi figuravano testi segnaposto come “Select your state”, valori numerici nei menu a tendina, denominazioni incoerenti dei Paesi, nomi in minuscolo e date di nascita impostate al 1° gennaio.

Questi errori non dimostrano la provenienza dei dati. Tuttavia, ricordano più la struttura disordinata dei reali database consumer che un elenco fabbricato in modo uniforme.

Le date di creazione degli account andavano da febbraio 1999 al 23 ottobre 2025. Da settembre 2025 in poi le nuove registrazioni diventavano molto meno frequenti, portando Ransomnews a valutare che l’estrazione possa essere avvenuta nell’arco di diverse settimane, tra settembre e la fine di ottobre 2025.

Questo andamento è coerente con la sequenza degli eventi legati al precedente incidente di WIRED. I record di WIRED divulgati pubblicamente arrivavano fino a settembre 2025; a novembre una persona che utilizzava il nome “Lovely” ha contattato DataBreaches.net; a dicembre 2025 sono stati pubblicati dati relativi a WIRED.

Anche il nuovo campione differiva dal materiale di WIRED precedentemente esposto. Secondo quanto riferito, presentava una struttura dei campi diversa, conteneva più frequentemente nomi e indirizzi civici e mostrava caratteristiche demografiche riconducibili a un gruppo più ampio di pubblicazioni Condé Nast.

Il controllo degli accessi compromesso resta una possibile via di intrusione

L’autore noto come Lovely aveva precedentemente sostenuto di aver sottratto più di 40 milioni di record di Condé Nast e aveva minacciato di pubblicare informazioni relative ad altre testate. Le precedenti analisi tecniche avevano rilevato che la descrizione dell’attaccante era compatibile con una vulnerabilità di insecure direct object reference, o IDOR, e con altre debolezze legate al controllo degli accessi.

Una vulnerabilità IDOR si verifica quando un’applicazione accetta un identificativo controllato dall’utente, come il numero di un account, di un abbonamento o di un cliente, e restituisce l’oggetto associato senza verificare adeguatamente l’autorizzazione.

Per esempio, la modifica di un identificativo numerico in una richiesta dell’applicazione potrebbe esporre il record di un altro cliente se il server verifica che l’oggetto esista, ma non conferma che il richiedente possa accedervi. Le richieste automatizzate possono trasformare questa esposizione individuale in un’estrazione su vasta scala.

Non è stato confermato che l’IDOR abbia causato la presunta compromissione più ampia di Condé Nast. Non sono stati divulgati né il prodotto software interessato, né la versione, né l’endpoint, né un identificativo CVE; inoltre, Condé Nast non ha pubblicato alcuna spiegazione tecnica.

Di conseguenza, non esiste una patch installabile dagli utenti né una procedura specifica associata all’incidente. Qualsiasi intervento correttivo sulla presunta debolezza dell’applicazione dovrebbe essere effettuato nei sistemi di Condé Nast e includere controlli di autorizzazione lato server, monitoraggio delle richieste e analisi degli accessi ai record degli account.

Secondo quanto riferito, il nuovo venditore opera attraverso un account del forum creato di recente, con una reputazione pubblicamente visibile limitata, e offre un servizio di escrow. Questo profilo potrebbe indicare il tentativo di concludere una vendita privata con un singolo acquirente, invece di attirare l’attenzione con un’ulteriore pubblicazione.

Con un prezzo di 15.000 dollari, il costo richiesto è inferiore a un ventesimo di centesimo per record. Una vendita privata potrebbe quindi fornire a un acquirente un vasto archivio utile alle frodi, rendendone al contempo più difficile l’individuazione durante gli utilizzi successivi.

Phishing e frodi sugli abbonamenti sono i rischi immediati

L’assenza di credenziali sposta la minaccia dalla compromissione diretta delle password verso l’impersonificazione, l’ingegneria sociale e l’arricchimento dei dati.

I criminali potrebbero creare messaggi che fanno riferimento al nome e all’indirizzo del destinatario, nonché al suo autentico rapporto con una determinata pubblicazione. Tra i pretesti più probabili:

• Rinnovi dell’abbonamento o avvisi di scadenza
• Richieste relative a pagamenti non riusciti
• Notifiche di rimborso
• Messaggi sulla consegna o sulla verifica dell’indirizzo
• Comunicazioni relative ad abbonamenti regalo
• Richieste di verifica dell’account

Un messaggio che cita Vogue, GQ, The New Yorker, WIRED o un’altra testata può sembrare credibile proprio perché il rapporto sottostante è reale. Il destinatario potrebbe quindi essere più propenso ad aprire un link, fornire dati di pagamento o inserire le proprie credenziali in un sito fraudolento.

Gli indirizzi postali compaiono in oltre un quinto dei presunti record, quindi l’abuso non si limita alle email. Gli attaccanti o gli operatori di marketing fraudolenti potrebbero utilizzare anche lettere cartacee, mentre i record contenenti numeri di telefono potrebbero sostenere campagne tramite chiamate vocali o SMS.

Il database potrebbe inoltre essere confrontato con precedenti fughe di credenziali. Sebbene questa raccolta non contenga, secondo quanto riferito, le password, gli attributi identificativi possono aiutare i criminali a selezionare le vittime, rispondere a domande di verifica poco efficaci o personalizzare pagine destinate al furto delle credenziali.

La circolazione privata complica l’individuazione degli abusi. L’assenza di una divulgazione pubblica completa non significa che i record non siano più disponibili o non vengano sfruttati.

Come dovrebbero reagire utenti e organizzazioni

Chi possiede account o abbonamenti Condé Nast dovrebbe prestare attenzione a richieste inattese relative a rinnovi, rimborsi, pagamenti, consegne o verifiche. Invece di seguire i link contenuti in un messaggio, dovrebbe digitare direttamente l’indirizzo noto del sito dell’editore e controllare l’account da lì.

Le richieste di pagamento dovrebbero essere verificate utilizzando recapiti ottenuti indipendentemente dalla comunicazione ricevuta. La stessa regola vale per le lettere cartacee che citano una pubblicazione o un abbonamento reale.

La reimpostazione della password non è la risposta principale ai dati esaminati, perché non sono state trovate né password né hash delle password. Gli utenti dovrebbero comunque proteggersi dalle correlazioni con altre violazioni adottando password uniche, utilizzando un password manager e abilitando l’autenticazione a più fattori, quando disponibile.

Condé Nast e le sue pubblicazioni dovrebbero monitorare i tentativi di impersonificazione del marchio, le attività fraudolente legate agli abbonamenti e le richieste insolite rivolte all’assistenza clienti. Tra le priorità dell’indagine rientrano la verifica della corrispondenza tra i record pubblicizzati e gli account attivi e l’accertamento dell’eventuale presenza nei log storici di estrazioni di dati su larga scala.

Non sono applicabili versioni interessate, perché non è stata indicata alcuna versione vulnerabile di un prodotto commerciale. Inoltre, non sono stati divulgati né un CVE né una voce nel catalogo CISA Known Exploited Vulnerabilities associati al presunto incidente.

Finché Condé Nast non fornirà una conferma o una ricostruzione tecnica, l’entità e la causa complessive restano non verificate. L’analisi del campione disponibile indica comunque che l’annuncio merita attenzione, soprattutto perché milioni di record potrebbero essere venduti privatamente invece di essere esposti in un luogo dove i difensori possano esaminarli.