Introduzione
Gli incidenti di sicurezza informatica continuano a colpire grandi aziende in tutto il mondo, ricordando quanto siano vulnerabili i dati personali che affidiamo ogni giorno alle piattaforme digitali. Il 2 ottobre 2025, la Canadian Tire Corporation, uno dei più grandi gruppi commerciali del Canada, ha comunicato pubblicamente di aver subito una violazione dei propri sistemi informatici. L’episodio ha riguardato il database legato all’e-commerce dell’azienda e ha coinvolto un numero molto elevato di clienti.
Cosa è successo
Secondo quanto reso noto dalla stessa Canadian Tire Corporation, un attaccante è riuscito ad accedere a un database utilizzato per le attività di commercio elettronico dell’azienda. La violazione ha comportato l’esposizione di un numero stimato tra 38 e 42 milioni di record. Tra i dati compromessi figurano circa 38 milioni di indirizzi email unici, insieme a nomi, numeri di telefono e indirizzi fisici dei clienti. Per alcuni account sono stati esposti anche la data di nascita e informazioni parziali relative a carte di credito, ovvero il tipo di carta, la data di scadenza e il numero mascherato, ossia un numero nel quale la maggior parte delle cifre è nascosta. Le password erano protette da un sistema di cifratura chiamato PBKDF2, che le rende difficili ma non impossibili da decifrare se si dispone di sufficiente potenza di calcolo. L’identità dell’attore responsabile dell’attacco non è stata resa nota e, al momento, rimane sconosciuta. L’azienda ha precisato che i conti bancari dei clienti e i dati del programma fedeltà non sono stati coinvolti nell’incidente.
Perché è importante e qual è l’impatto potenziale
Anche se informazioni come il numero mascherato di una carta di credito non permettono di effettuare transazioni, la combinazione di dati esposti in questa violazione è comunque preoccupante. Nome, email, numero di telefono e indirizzo fisico insieme possono essere utilizzati per costruire attacchi di phishing molto convincenti, ovvero messaggi fraudolenti che imitano comunicazioni legittime per ingannare le vittime. Chi possiede questi dati potrebbe contattare i clienti fingendosi la stessa Canadian Tire o un altro ente affidabile, chiedendo ulteriori informazioni o inducendo a cliccare su link pericolosi. Non è nota con certezza la portata reale del danno per i singoli clienti, ma il volume dei record esposti rende la situazione significativa.
Cosa possono fare aziende e utenti
Per i clienti della Canadian Tire, il primo passo consiste nel cambiare la propria password sull’account dell’azienda e su qualsiasi altro servizio in cui si utilizzi la stessa combinazione di credenziali. È importante prestare maggiore attenzione a email, SMS o telefonate sospette che chiedono dati personali o invitano a cliccare su link. Per le aziende, questo episodio ricorda l’importanza di adottare sistemi di monitoraggio continuo e di limitare la quantità di dati sensibili conservati nei database.
Takeaway finali
- I dati esposti non includono informazioni bancarie complete, ma la combinazione di elementi personali può facilitare tentativi di truffa sofisticati.
- Cambiare le password e usare password diverse per ogni servizio rimane una delle misure di protezione più efficaci a disposizione di chiunque.
- L’identità dell’attaccante non è nota: è fondamentale seguire le comunicazioni ufficiali dell’azienda per aggiornamenti attendibili.
Fonti:
https://corp.canadiantire.ca/English/Cyber-Incident/default.aspx
https://haveibeenpwned.com/Breach/CanadianTire
https://www.securityweek.com/canadian-tire-data-breach-impacts-38-million-accounts/
https://www.hookphish.com/blog/critical-alert-recent-canadian-tire-data-breach/
Fonte: Security Affairs