Glassdoor è apparso sul sito di fuga gestito dal gruppo ransomware Gentlemen, con gli aggressori che minacciano di diffondere informazioni presuntamente rubate se l’azienda non risponde prima della scadenza del conto alla rovescia.
Glassdoor è una delle principali piattaforme di lavoro online dove i dipendenti attuali ed ex possono consultare anonimamente le aziende, condividere informazioni sui salari e descrivere le proprie esperienze lavorative. Il servizio fornisce anche annunci di lavoro e informazioni sui datori di lavoro, permettendo ai candidati di ricercare aziende e opportunità di lavoro. Glassdoor attira fino a 67 milioni di visitatori unici al mese, ospita recensioni che coprono più di due milioni di aziende e presenta milioni di annunci attivi.
La gang ransomware Gentlemen sostiene di aver violato Glassdoor ed aver esaurito dati dall’azienda. Il suo elenco sul sito di fuga includeva un conto alla rovescia di 172 ore, dando a Glassdoor poco più di sette giorni prima della minaccia di pubblicazione.
Tuttavia, Gentlemen non ha rilasciato campioni che possano sostenere le sue affermazioni. Glassdoor non ha nemmeno confermato la presunta violazione, il che significa che la quantità e la natura di eventuali informazioni potenzialmente compromesse rimangono sconosciute.
Attualmente non ci sono prove che stabiliscano se gli aggressori abbiano ottenuto documenti interni aziendali, informazioni appartenenti ai dipendenti di Glassdoor, dati associati ai candidati o altri documenti. Fino a quando Glassdoor o gli investigatori non forniranno ulteriori informazioni, le affermazioni del gruppo ransomware dovrebbero essere considerate non verificate.
Se informazioni relative all’impiego fossero tra i documenti rubati, potrebbero potenzialmente avere un valore oltre il tentativo immediato di estorsione. Le piattaforme di impiego contengono informazioni sull’attività di selezione in un gran numero di organizzazioni, mentre singoli annunci di lavoro possono fornire indizi sulle priorità di personale delle aziende e sui cambiamenti nella forza lavoro.
Le informazioni personali potrebbero creare rischi aggiuntivi se venissero compromesse. I dettagli di contatto combinati con informazioni sulla ricerca di lavoro di una persona potrebbero potenzialmente essere utilizzati per creare email di phishing mirate che si spacciano per potenziali datori di lavoro. Le informazioni email aziendali potrebbero allo stesso modo aiutare gli attaccanti a costruire campagne di social engineering o a confrontare i dati con informazioni esposte in precedenti violazioni. Nessuna di queste categorie di informazioni è stata confermata come rubata da Glassdoor.
Gentlemen opera utilizzando un modello ransomware-as-a-service, in cui gli affiliati effettuano attacchi utilizzando l’infrastruttura fornita dall’operazione e condividono i proventi con i suoi organizzatori.
I ricercatori di sicurezza hanno collegato il gruppo ad ArmCorp, precedentemente un cluster affiliato associato all’operazione ransomware Qilin. Una disputa che coinvolgeva circa 48.000 dollari in presunte commissioni non pagate è diventata pubblica su un forum clandestino nel luglio 2025. Le prove suggeriscono che la separazione era già in corso prima che la disputa diventasse pubblica, poiché un campione di ransomware Gentlemen contenente l’indirizzo del sito di fuga del gruppo era apparso all’inizio di quel mese.
L’operazione utilizza tattiche di doppia estorsione che coinvolgono furto di dati, crittografia e minacce di pubblicare informazioni rubate. I ricercatori hanno identificato vittime in diversi paesi, con la Thailandia che rappresenta il numero maggiore.
Per ora, le affermazioni di Gentlemen contro Glassdoor rimangono non verificate. Non sono stati pubblicati campioni e l’azienda non ha confermato che i suoi sistemi o dati siano stati compromessi.