Un database contenente quasi 14 milioni di record di precedenti violazioni dati è stato lasciato accessibile a chiunque avesse una connessione internet, potenzialmente esponendo informazioni sensibili appartenenti a persone di tutto il mondo.
La scoperta è stata fatta da cybersecurity researcher Jeremiah Fowler , che ha pubblicato le sue scoperte tramite ExpressVPN il 12 ottobre 2026. Il database conteneva circa 13,7 milioni di registrazioni, inclusi indirizzi email, nomi utente, password, numeri di telefono e informazioni bancarie.
Secondo l’indagine di ExpressVPN, il database non era né protetto da password né criptato. Ciò significava che i suoi contenuti potevano essere visualizzati tramite un browser web senza effettuare il login o aggirare i controlli di sicurezza.
Fowler ha rintracciato il server esposto a una piattaforma di data intelligence collegata a Vibetech, un’azienda indiana impegnata nello sviluppo di software AI e nei servizi IT. La piattaforma sembrava raccogliere informazioni da numerosi database precedentemente compromessi.
I documenti includevano raccolte etichettate come provenienti da AT&T, Amazon, Walmart, PayPal e altre organizzazioni. Un dataset associato ad AT&T conteneva circa 7,9 milioni di registrazioni, mentre un altro, etichettato come collezione di credenziali Amazon, ne conteneva più di 1,2 milioni.
È importante notare che queste etichette non dimostrano che le aziende nominate abbiano subito nuove violazioni di sicurezza. Le informazioni sembravano provenire in gran parte da incidenti più vecchi, anche se ExpressVPN ha osservato che alcuni dataset non corrispondevano ai totali di violazioni pubblicamente note.
La fonte delle informazioni raccolte rimane poco chiara. I ricercatori non hanno stabilito come Vibetech abbia ottenuto i documenti o se la piattaforma sia stata sviluppata per uso interno o per un cliente terzo.
Dopo la scoperta, Fowler ha informato l’organizzazione associata al server e al suo fornitore di hosting. L’accesso al database è stato successivamente limitato e le credenziali esposte non sono più visibili pubblicamente.
Tuttavia, il rapporto di ExpressVPN afferma che non si sa per quanto tempo le informazioni siano rimaste accessibili o se persone non autorizzate le abbiano scaricate prima che il database fosse messo in sicurezza.
Anche quando informazioni rubate provengono da violazioni più vecchie, esporle nuovamente può creare rischi aggiuntivi. I criminali possono combinare indirizzi email, password e dati personali per tentare appropriazioni di account, truffe di impersonificazione o attacchi di phishing convincenti.
Ad esempio, qualcuno che ha riutilizzato una vecchia password su diversi siti potrebbe comunque essere vulnerabile se quella password apparisse nella collezione esposta.
ExpressVPN raccomanda di cambiare le password potenzialmente compromesse, evitare il riutilizzo delle password e abilitare l’autenticazione a due fattori ove possibile. Gli utenti dovrebbero anche stare attenti a messaggi imprevisti che richiedono informazioni personali o finanziarie.