Violati gli account dei clienti Telus in attacchi basati su credenziali

Telus ha informato i clienti consumer che alcuni attaccanti hanno avuto accesso ai loro account di telecomunicazioni usando credenziali di accesso compromesse, esponendo informazioni personali e dati relativi alla fatturazione.

Secondo i dettagli contenuti nelle notifiche della violazione di Telus, le intrusioni si sono verificate tra febbraio 2025 e giugno 2026. Il provider canadese di telecomunicazioni non ha reso noto quanti account o individui siano stati interessati.

L'incidente non si è limitato a un furto passivo di dati. Telus ha dichiarato che le informazioni sottratte sono state successivamente usate per spingere i clienti a trasferire i propri servizi di telecomunicazione a provider concorrenti. In alcuni account, gli attaccanti hanno inoltre apportato modifiche non autorizzate ai servizi.

Le credenziali compromesse hanno aperto l'accesso agli account dei clienti

Gli intrusi si sono autenticati usando credenziali valide, ma compromesse, dei clienti. Telus non ha reso noto da dove provenissero quei nomi utente e quelle password, né se fossero stati sottratti direttamente dai suoi sistemi.

L'attività è compatibile con un'operazione di acquisizione di account basata sul riutilizzo delle credenziali. In attacchi di questo tipo, i criminali provano su altri servizi le password esposte in violazioni non correlate, campagne di phishing, infezioni malware o altre operazioni di sottrazione delle credenziali.

Il credential stuffing è una possibile spiegazione, ma Telus non ha confermato l'uso di questa tecnica. Non è inoltre noto se gli attaccanti abbiano aggirato ulteriori controlli di autenticazione o preso di mira account privi di autenticazione multifattore.

Una volta effettuato l'accesso, gli intrusi potevano visualizzare le informazioni associate a ciascun abbonato interessato. Le modifiche non autorizzate ai servizi indicano che almeno alcuni degli account compromessi consentivano di accedere anche a funzioni operative, non soltanto ai dati dei clienti.

Non è stata identificata alcuna vulnerabilità software, alcun identificativo CVE o alcuna versione di prodotto interessata. Gli elementi disponibili indicano invece l'uso improprio di credenziali legittime degli account.

Esposti dati personali, di fatturazione e relativi agli abbonamenti

Gli account compromessi potrebbero aver esposto diverse categorie di informazioni sui clienti:

• Nomi
• Numeri degli account Telus
• Numeri di telefono
• Indirizzi di fatturazione
• Indirizzi email
• Numeri parziali delle carte di pagamento
• Dettagli degli abbonamenti
• Cronologia dei pagamenti

Questa combinazione di dati è particolarmente utile per l'ingegneria sociale. Un attaccante che conosce il numero di telefono, l'indirizzo, i servizi attivi e i pagamenti precedenti di un abbonato può risultare credibile fingendosi un operatore Telus, un altro provider o il cliente stesso.

I numeri degli account e i dettagli degli abbonamenti potrebbero inoltre aiutare i criminali a rispondere alle domande di verifica di base o a formulare richieste coerenti con il servizio già attivo della vittima. La cronologia dei pagamenti fornisce ulteriori elementi per messaggi fraudolenti relativi alla fatturazione.

Telus non ha segnalato l'esposizione dei numeri completi delle carte di pagamento, dei codici di autenticazione delle carte o delle credenziali complete per i pagamenti. Non è inoltre pervenuta alcuna segnalazione confermata di furti finanziari diretti riconducibili all'incidente.

Il rischio non può tuttavia essere escluso. I dati parziali delle carte vengono spesso usati come elemento di supporto nelle chiamate di phishing: il criminale cita le cifre visibili per dare l'impressione di avere già accesso a un documento di fatturazione legittimo.

I dati sottratti sono stati usati per prendere di mira gli abbonati

Secondo quanto riferito, gli attaccanti hanno usato le informazioni ottenute dagli account Telus per convincere i clienti a trasferire i propri servizi a concorrenti non identificati. Il meccanismo preciso non è stato reso noto.

Non è quindi chiaro se l'attività comprendesse la chiusura fraudolenta degli account, il trasferimento dei numeri di telefono, la migrazione degli abbonamenti o altre modifiche ai servizi. Telus ha confermato soltanto che in alcuni casi sono state apportate modifiche non autorizzate.

L'incidente espone i clienti interessati a diverse minacce sovrapposte:

• Phishing mirato via email, telefono o SMS
• Falsificazione dell'identità di dipendenti Telus o di provider concorrenti
• Modifiche fraudolente agli abbonamenti di telecomunicazione
• Ulteriori acquisizioni degli account tramite password riutilizzate
• Tentativi di manipolare il personale dell'assistenza clienti
• Richieste false relative alla fatturazione o alla verifica dell'account

Gli attaccanti potrebbero sfruttare i dati sottratti in più di un'interazione. Per esempio, una prima chiamata potrebbe usare informazioni accurate sull'abbonamento per instaurare un rapporto di fiducia, seguita da una richiesta di password, codice di verifica o ulteriori dati di pagamento.

L'assenza del numero di vittime rende difficile valutare la gravità complessiva dell'incidente. Telus non ha fornito una valutazione formale dell'incidente, non ha attribuito l'attività contro gli account consumer a un gruppo identificato e non ha segnalato una componente ransomware.

La violazione di Telus Digital è un incidente separato

La compromissione degli account dei clienti segue una violazione distinta che ha coinvolto Telus Digital, una controllata di Telus, che a marzo ha confermato di aver subito un'intrusione.

Il gruppo di cybercriminali ShinyHunters ha affermato di aver sottratto circa un petabyte di informazioni dai sistemi di Telus Digital. Questa cifra non è stata verificata in modo indipendente e non è stato possibile stabilire il contenuto del materiale che sarebbe stato sottratto.

Al momento non esiste alcun collegamento confermato tra la violazione di Telus Digital e gli attacchi contro gli account consumer di telecomunicazioni. Non sono state divulgate prove che dimostrino che entrambe le operazioni siano state condotte dallo stesso attore o che le credenziali usate contro gli account dei clienti provenissero da Telus Digital.

Considerare i due incidenti come correlati in assenza di prove tecniche rischierebbe di confonderne le diverse caratteristiche. Il caso consumer riguarda l'accesso autenticato ai singoli account degli abbonati, mentre l'evento relativo a Telus Digital è stato descritto come una rivendicazione di furto di dati su larga scala.

Telus ha reimpostato le credenziali e potenziato il monitoraggio

Telus ha dichiarato di aver reimpostato le credenziali compromesse e introdotto un monitoraggio di sicurezza rafforzato per gli account interessati. L'azienda ha inoltre informato il Vancouver Police Department.

Ai clienti coinvolti sono stati offerti servizi gratuiti di protezione contro il furto d'identità. Non sono stati resi noti i dettagli sulla durata o sulla copertura precisa di questa protezione.

Restano senza risposta diverse domande centrali. Telus non ha rivelato il numero di account violati, come siano state ottenute le credenziali o quali modifiche esatte abbiano apportato gli attaccanti dopo aver ottenuto l'accesso.

Non è inoltre noto se l'azienda abbia identificato una fonte comune delle credenziali, come una precedente fuga di dati da parte di terzi, o se siano stati usati metodi distinti di sottrazione delle credenziali. Ulteriori informazioni aiuterebbero i clienti a valutare se sia sufficiente cambiare soltanto la password Telus.

I clienti dovrebbero verificare le modifiche ai servizi tramite canali affidabili

Chiunque riceva una notifica della violazione di Telus dovrebbe cambiare immediatamente la password interessata. La nuova password dovrebbe essere univoca e non essere usata per account email, bancari, social network o altri servizi di telecomunicazione.

Se la vecchia password era stata riutilizzata altrove, anche quegli account dovrebbero essere aggiornati. È particolarmente importante proteggere l'account email associato, perché spesso può essere usato per reimpostare le credenziali dei servizi di telecomunicazione.

I clienti dovrebbero controllare le informazioni del proprio account, gli abbonamenti, i pagamenti recenti e le impostazioni dei servizi per individuare eventuali modifiche inspiegabili. Qualsiasi discrepanza dovrebbe essere segnalata contattando Telus tramite un numero di telefono noto, l'applicazione ufficiale o l'indirizzo di un sito web inserito manualmente.

I messaggi inattesi relativi a migrazioni, sconti, verifiche dell'account o problemi di fatturazione vanno trattati con cautela. I clienti non dovrebbero fornire password o codici di verifica monouso a chi li contatta, anche se la persona è in grado di citare informazioni accurate sull'account.

Dove disponibile, è opportuno attivare l'autenticazione multifattore. Telus non ha illustrato pubblicamente le opzioni di autenticazione applicabili a tutti i servizi consumer interessati; i clienti potrebbero quindi dover verificare quali protezioni siano supportate dai propri account.

Gli abbonati interessati dovrebbero inoltre monitorare gli estratti conto delle carte di pagamento e i propri dati creditizi, nonostante l'assenza di prove dell'esposizione delle credenziali complete delle carte. Il pericolo più immediato è rappresentato da frodi altamente personalizzate costruite sui dati autentici degli account Telus.