🚨 VECERT Threat Intelligence: l'API Samaritan espone i dati di milioni di latinoamericani
Il 13 agosto 2026, la società di cibersicurezza VECERT Analyzer (@VECERTRadar) ha pubblicato un rapporto di intelligence sulle minacce che mette in guardia su una rete criminale informatica legata all'API Samaritan, un'infrastruttura di Data-as-a-Service che trasforma database filtrati o compromessi in endpoint accessibili tramite chiavi API, pannelli web, bot di Telegram e script esterni.
Secondo l'analisi, Samaritan è pubblicamente associata all'ecosistema LaPampaLeaks e ad altri collaboratori che partecipano all'acquisizione, integrazione, commercializzazione e distribuzione automatizzata di grandi volumi di informazioni sui cittadini latinoamericani.
🔎 Cos'è Samaritan?
Samaritan funziona come un'infrastruttura di Data-as-a-Service (DaaS), ovvero un servizio che offre dati come prodotto. Converte database filtrati, compromessi o distribuiti in comunità sotterranee in endpoint (punti di accesso) che possono essere consultati tramite chiavi API, pannelli web, bot di Telegram, script e strumenti esterni.
La rete ha promosso capacità relative a:
- Identità e documenti
- Indirizzi e numeri di telefono
- Telecomunicazioni
- Veicoli
- Registri educativi
- Informazioni finanziarie
- Database governativi
- Informazioni associate a funzionari della sicurezza
🌎 Espansione regionale osservata
Gli operatori di Samaritan hanno annunciato versioni con più di 30 endpoint e 130 parametri, oltre a nuovi database, alleanze e continua espansione in altri paesi. I paesi colpiti includono:
- 🇦🇷 Argentina
- 🇺🇾 Uruguay
- 🇨🇱 Cile
- 🇵🇪 Perù
- 🇨🇷 Costa Rica
- 🇻🇪 Venezuela
🕒 Cronologia dell'infrastruttura
| Data | Dominio/Evento |
|---|---|
| 30 giugno 2026 | mail.samaritan-api[.]top, www.samaritan-api[.]top, lady.samaritan-api[.]top |
| 3 agosto 2026 | *.samaritan-api[.]top (certificato wildcard) |
L'apparizione del certificato wildcard indica un'evoluzione dell'infrastruttura con capacità di distribuire più sottodomini e servizi.
⚠️ Cloudflare non nasconde completamente l'infrastruttura
Il dominio pubblico samaritan-api[.]top è protetto da Cloudflare, ma durante l'analisi tecnica, VECERT ha identificato un IP di backend/origine esposto e direttamente accessibile:
🔥 188.93.233[.]175
L'host risponde direttamente ed espone contenuti relativi a Samaritan, inclusi risorse specifiche utilizzate dal frontend. Porte osservate:
- 22/TCP → OpenSSH 9.6p1 / Ubuntu
- 80/TCP → Caddy HTTP Server
- 443/TCP → HTTPS
- 8080/TCP → HTTP / Frontend di Samaritan
È stato osservato l'accesso a 188.93.233[.]175:8080 tra altre fonti, il che consente di correlare con alta fiducia tecnica l'IP all'infrastruttura di Samaritan, nonostante il livello pubblico di Cloudflare.
🕸️ Rete criminale informatica
L'indagine mostra che Samaritan non opera come un sito indipendente. VECERT osserva un ecosistema di attori, fornitori, collaboratori e servizi correlati, dove vengono annunciate alleanze, scambi o incorporazioni di database, sviluppo di nuovi endpoint e distribuzione di capacità su diverse piattaforme.
Tra le attività osservate pubblicamente includono:
- Commercializzazione dell'accesso tramite abbonamento/chiave API
- Promozione e vendita in forum sotterranei
- Incorporazione di database filtrati in un'API centralizzata
- Automazione delle query sui cittadini
- Integrazione con bot e script esterni
- Collaborazione con altri fornitori di dati
- Distribuzione tramite Telegram e Signal
- Espansione sistematica in nuovi paesi
🔴 Livello di rischio: CRITICO
VECERT ha pubblicato i seguenti IOC (Indicatori di Compromissione):
- DOMINIO: samaritan-api[.]top
- IP: 188.93.233[.]175
- HOST: www.samaritan-api[.]top
- HOST: mail.samaritan-api[.]top
- HOST: lady.samaritan-api[.]top
- WILDCARD: *.samaritan-api[.]top
- PORTE: 22 / 80 / 443 / 8080
L'esposizione dei dati personali dei cittadini latinoamericani rappresenta una grave minaccia per la privacy e la sicurezza delle persone, che può essere utilizzata per frodi, estorsioni, furto di identità e altri reati. Si consiglia agli utenti di monitorare i propri account e segnalare qualsiasi attività sospetta.
Fonte: VECERT Analyzer (@VECERTRadar) su X, 13 agosto 2026. Vedi pubblicazione originale