ShinyHunters gonfia il breach Carhartt con dati sintetici, ma la conta reale è

Il 13 agosto 2026 il gruppo di estorsione ShinyHunters ha pubblicato un archivio di circa 50 GB contenente dati sottratti a Carhartt, il produttore americano di abbigliamento da lavoro fondato nel 1889. L'azienda aveva rifiutato una richiesta di riscatto di 3,3 milioni di dollari. Due settimane dopo, l'analisi forense condotta da Troy Hunt con il suo strumento OpenClaw ha svelato il meccanismo: il dataset era stato artificialmente gonfiato con milioni di record sintetici, riducendo il conteggio reale dei conti esposti da quasi 24,8 milioni a 12.933.413.

Il rifiuto del riscatto e la pubblicazione sui canali dark web

ShinyHunters ha contattato Carhartt con una richiesta di riscatto di 3,3 milioni di dollari. Il gruppo ha poi pubblicato sui propri canali un presunto messaggio di risposta dell'azienda: «After careful review and internal discussions with leadership, we have decided not to move forward with negotiations or further discussions. We appreciate your patience throughout this process.» La fonte non ha potuto verificare autonomamente l'autenticità del messaggio, ma la citazione è riportata in modo consistente da BleepingComputer e Cybernews.

Dopo il rifiuto, ShinyHunters ha reso disponibile un archivio di circa 50 GB su un sito di leak dark web. Il gruppo ha affermato che «millions of records of customer data and vast amount of sensitive information and PII containing employee, customer, customer metadata (royalty info), and other internal corporate data was compromised». Nell'archivio sono emersi oltre 15.000 indirizzi email con dominio @carhartt.com, che rappresentano la componente dipendenti dell'esposizione.

ShinyHunters ha reagito al rifiuto attaccando la competenza del negoziatore di Carhartt: «The Company hired a very unskilled and incompetent negotiator. If The Company hired competency to negotiate for them, this post would've never been published». L'episodio conferma la strategia del gruppo di combinare pressione finanziaria e pubblica umiliazione per spingere le vittime al pagamento.

«Our demand for this Company was $3.3 million. The Company reached out. However, The Company did not try to negotiate»
— ShinyHunters, messaggio pubblicato dopo la pubblicazione dei dati

L'analisi OpenClaw: come i dati sintetici hanno mascherato la scala reale

Troy Hunt, fondatore di Have I Been Pwned, ha analizzato il dataset con il suo strumento OpenClaw, progettato per rilevare record artificiali nelle fughe di dati. Il conteggio iniziale era di quasi 24,8 milioni di indirizzi. La prima scrematura ha eliminato record sintetici, di test, usa-e-getta e non umani, riducendo il totale a 13,6 milioni. Un filtro aggiuntivo per duplicati e anomalie residue ha portato al numero definitivo di 12.933.413 account genuini.

Le anomalie identificate da Hunt includono tre pattern distinti. Primo: domini .edu e .org con stringhe alfanumeriche casuali, atipici per una base clienti di un produttore di abbigliamento da lavoro. Secondo: una concentrazione sospetta di utenti localizzati in Benin e Montenegro, mercati non significativi per Carhartt secondo la documentazione pubblica dell'azienda. Terzo: una distribuzione anomala di date di nascita concentrate nei primi anni del 1900, demograficamente implausibile per una clientela attiva. Questi pattern suggeriscono una generazione automatica piuttosto che una raccolta reale di dati.

Il gonfiaggio sintetico rappresenta circa il 48% del dataset originale. La tecnica serve a molteplici scopi per il threat actor: aumentare la percezione del danno, rendere più complessa l'analisi forense, e potenzialmente influenzare i requisiti di notifica normativa in jurisdizioni basate su soglie numeriche. Il dossier non specifica se il gonfiaggio sia stato applicato prima o dopo la negoziazione con Carhartt.

Databricks come superficie di attacco: cosa sappiamo del vettore

Hunt ha determinato che i dati provengono dalla piattaforma di analytics Databricks di Carhartt. Il dossier tecnico non specifica il vettore di accesso: potrebbe trattarsi di credenziali compromesse, misconfigurazione cloud, token di accesso esposti, o altri metodi. Ciò che emerge con chiarezza è che una piattaforma di analytics di terze parti ha funzionato come punto di fallimento singolo per l'esposizione massiva di dati cliente e dipendenti.

L'identificazione di Databricks come origine ha implicazioni per la governance dei dati aziendali. Le piattaforme di analytics cloud aggregano tipicamente dati da multiple fonti interne, creando silos ad alta densità di informazioni sensibili. Il dossier non documenta se Carhartt avesse implementato controlli di accesso granulari, crittografia a livello di campo, o monitoraggio anomalo sulle query di estrazione. La fonte non specifica nemmeno se Databricks o Carhartt abbiano condotto un'indagine congiunta sulle cause root.

Il profilo di esposizione: PII e il rischio di ricompilazione

I dati esposti includono indirizzi email univoci, nomi, numeri di telefono e indirizzi fisici. Il dossier non conferma la presenza di dati di pagamento o informazioni finanziarie. La componente dipendenti è significativa: oltre 15.000 account @carhartt.com nel dataset, su una forza lavoro totale che le fonti indicano in circa 3.000 unità tra Stati Uniti ed Europa. Questa discrepanza numerica suggerisce la presenza di account storici, di servizio, o di terze parti nel sistema.

Il dato più rilevante per la valutazione del rischio è l'83% di account già presenti in precedenti violazioni registrate su Have I Been Pwned. Questo profilo indica una popolazione digitale altamente esposta, per cui la violazione Carhartt funziona da ricompilazione piuttosto che da esposizione primaria. Il rischio rimane concreto: la combinazione di PII fresca con dati storici consente attacchi di spear-phishing più mirati e ricostruzioni di identità più complete.

Perché è importante

Carhartt non ha rilasciato alcuna dichiarazione pubblica sull'incidente al 27 agosto 2026. La fonte non specifica se l'azienda abbia notificato autorità regolatorie o individui interessati, né se sia stata coinvolta law enforcement. Il dossier non documenta misure correttive specifiche adottate da Carhartt o da Databricks dopo la scoperta.

L'episodio evidenzia due tendenze in evoluzione nel panorama delle minacce. Primo: l'inflazione sintetica dei dataset di breach come tattica di pressione nelle estorsioni, che erode la fiducia nelle cifre comunicate dai threat actor e richiede verifica forense indipendente. Secondo: la centralizzazione del rischio nelle piattaforme di analytics cloud, dove l'unificazione dei dati per finalità di business intelligence crea obiettivi ad alta densità per gli attaccanti.

L'analisi di Hunt con OpenClaw stabilisce un precedente metodologico: senza verifica AI-assisted, il conteggio di 24,8 milioni avrebbe circolato come dato ufficiale, con conseguenze distorte su valutazioni d'impatto, copertura mediatica e potenziali azioni legali. Il dossier non specifica se altri strumenti di rilevamento sintetico siano stati applicati o se esistano standard condivisi per questa verifica.

Fonti

• https://www.bleepingcomputer.com/news/security/carhartt-data-breach-exposes-information-of-129-million-accounts/
• https://www.infosecurity-magazine.com/news/exfilsquads-13-organizations/
• https://www.helpnetsecurity.com/2026/08/26/recruitment-scam-corporate-passwords-mobile/
• https://haveibeenpwned.com/Breach/Carhartt
• https://cybernews.com/news/carhartt-data-breach-shinyhunters-millions-customer-records/
• https://www.teiss.co.uk/news/carhartt-hit-by-data-breach-claimed-by-hacking-group-shinyhunters-18052
• https://www.scworld.com/brief/carhartt-data-breach-claims-inflated-by-synthetic-data-analysis-finds
• https://www.bleepingcomputer.com/news/security/cert-eu-european-commission-hack-exposes-data-of-30-eu-entities/
• https://www.pentasecurity.com/brochures_d-amo/?utm_source=bleeping_computer&utm_me%20dium=korgov_article&utm_campaign=bleeping_damo
• https://www.helpnetsecurity.com/2025/02/13/fortune-500-employee-accounts-compromised/
• https://www.helpnetsecurity.com/2026/06/10/browser-in-the-browser-phishing-microsoft-365-users/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://schema.org/FAQPage
• https://schema.org/Question
• https://schema.org/Answer