Mercato nero delle credenziali: come gli hacker vendono account Disney+, Netflix e Prime Video rubati

Mercato nero delle credenziali: un’industria sotterranea in forte espansione alimentata dal furto massivo di account streaming come Netflix, Disney+ e Prime Video. Questo articolo analizza le tecniche d’attacco più utilizzate – dal credential stuffing al malware – e l’architettura commerciale che sostiene la vendita illecita di credenziali digitali. Un viaggio nel lato oscuro della digitalizzazione dell’intrattenimento, tra rischi per la sicurezza degli utenti e strategie di monetizzazione criminale.

L’esplosione dei servizi di streaming ha generato un fenomeno criminale di proporzioni considerevoli: il mercato nero delle credenziali per piattaforme come Netflix, Disney+ e Amazon Prime Video. Questo ecosistema illecito rappresenta un caso studio paradigmatico di come l’economia digitale underground si sia adattata alle nuove modalità di consumo dell’intrattenimento.

Secondo recenti indagini di Kaspersky, nel 2024 sono state compromesse oltre 7 milioni di credenziali appartenenti ai principali servizi di streaming. Netflix guida questa classificazione con 5.632.694 account compromessi, seguito da Disney+ con 680.850 account e Amazon Prime Video con 1.607 account esposti.

Metodologie di compromissione: la trilogia dell’infiltrazione

L’acquisizione illecita delle credenziali avviene attraverso tre vettori principali, ciascuno caratterizzato da sofisticate tecniche di ingegneria sociale e automazione:

Credential Stuffing: l’automatizzazione del furto

Il credential stuffing rappresenta la metodologia predominante, sfruttando l’abitudine degli utenti di riutilizzare le stesse credenziali su molteplici piattaforme. Gli aggressori utilizzano botnet per automatizzare milioni di tentativi di accesso, testando combinazioni di username e password precedentemente sottratte da altri servizi.

Akamai ha documentato tre massicci attacchi di credential stuffing ai servizi di streaming nel 2018, con volumi compresi tra 133 milioni e 200 milioni di tentativi di accesso. L’efficacia di questa tecnica è dimostrata dal fatto che, su ogni milione di credenziali testate, circa 1.000 account risultano compromessi.

Phishing: l’inganno personalizzato

Le campagne di phishing sfruttano la fiducia degli utenti nelle piattaforme di streaming, creando email fraudolente che mimano perfettamente la grafica e la terminologia dei servizi originali. Queste comunicazioni spesso segnalano problemi di pagamento o necessità di aggiornamento delle informazioni personali, dirigendo le vittime verso siti web clonati dove le credenziali vengono sottratte.

Malware specializzato: la raccolta silenziosa

I malware infostealer rappresentano il terzo vettore di compromissione, infiltrandosi nei dispositivi degli utenti attraverso download non autorizzati, estensioni del browser compromesse o applicazioni modificate. Questi software malevoli raccolgono silenziosamente credenziali di accesso, dati di navigazione e altre informazioni personali, alimentando il mercato nero delle credenziali.

L’Architettura del mercato nero delle credenziali

Prezzi e garanzie: l’economia della criminalità

Il mercato nero delle credenziali streaming presenta una struttura economica sofisticata. Gli account compromessi vengono venduti a una frazione del prezzo originale: le credenziali Netflix sono disponibili per circa $3,25 USD, mentre gli account Disney+ sono commercializzati a prezzi simili. Check Point Research ha identificato canali Telegram che offrono accesso ai piani Premium di Netflix a partire da 190 rupie indiane (circa 2 euro).

I venditori forniscono persino garanzie sui loro prodotti: se le credenziali non funzionano, vengono sostituite gratuitamente. Questa pratica commerciale riflette la necessità di mantenere la fiducia nel mercato illegale e incoraggiare acquisti ripetuti.

Istruzioni per l’Uso: La Preservazione dell’Accesso

Gli acquirenti ricevono istruzioni precise per massimizzare la durata dell’accesso non autorizzato. Le raccomandazioni includono il divieto assoluto di modificare username o password dell’account, poiché tale azione annullerebbe la garanzia e allerta il legittimo proprietario. Questa strategia mira a prolungare l’utilizzo illecito senza destare sospetti.

La geopolitica del crimine digitale

Distribuzione geografica degli attacchi

La distribuzione geografica degli attacchi di credential stuffing rivela interessanti pattern geopolitici. Gli Stati Uniti guidano la classifica dei paesi di origine degli attacchi, seguiti da Russia e Canada. Tuttavia, i paesi più colpiti includono Brasile, Messico e India per Netflix, mentre per Disney+ il Brasile mantiene la leadership seguito da Messico e Germania.

Infrastrutture di supporto

Gli aggressori utilizzano server in affitto in paesi con legislazioni meno stringenti, principalmente Olanda, Inghilterra e Croazia, per rendere più difficoltoso il tracciamento delle loro attività. Questa distribuzione geografica dell’infrastruttura criminale dimostra il carattere transnazionale del fenomeno.

Strumenti e tecnologie: l’arsenale del cybercrimine

Software specializzato

I criminali informatici utilizzano software specializzato come Sentry MBA, un tool automatizzato che permette di testare migliaia di combinazioni di credenziali in modo sistematico. Questi strumenti sono spesso accompagnati da config files specifici per ciascuna piattaforma, ottimizzati per bypassare le misure di sicurezza implementate dai servizi di streaming.

Proxy e mascheramento

Per evitare il blocco degli indirizzi IP, gli aggressori impiegano reti di proxy che distribuiscono i tentativi di accesso attraverso molteplici locazioni geografiche. Questa tecnica rende inefficaci le tradizionali misure di sicurezza basate sulla limitazione dei tentativi di accesso per singolo indirizzo IP.

Impatto economico e infrastrutturale

Costi operativi per le piattaforme

Gli attacchi di credential stuffing generano costi operativi significativi per le piattaforme di streaming. I botnet possono generare milioni di richieste di login per ora, incrementando i costi di CPU, memoria e trasferimento dati. Questi costi si riflettono particolarmente sui sistemi di backend che gestiscono l’autenticazione, rappresentando le operazioni più onerose in termini di risorse computazionali.

Casi studio italiani

Le indagini della Guardia di Finanza italiana hanno rivelato l’esistenza di reti criminali organizzate che hanno generato guadagni superiori a 500.000 euro attraverso la rivendita di abbonamenti streaming illegali. Un caso specifico ha coinvolto oltre 1.800 persone denunciate per ricettazione, con sanzioni complessive di circa 300.000 euro.

Prospettive future e contromisure

Evoluzione delle minacce

Il mercato nero delle credenziali streaming continua a evolversi, con i criminali informatici che sviluppano tecniche sempre più sofisticate per eludere le contromisure implementate dalle piattaforme. L’introduzione di sistemi di autenticazione biometrica e machine learning per il riconoscimento di pattern anomali rappresenta la frontiera tecnologica della protezione.

Implications legali e normative

Le autorità internazionali stanno intensificando gli sforzi per contrastare questo fenomeno attraverso operazioni coordinate che hanno portato all’oscuramento di 25 milioni di utenze irregolari in Europa. Tuttavia, la natura transnazionale del crimine digitale richiede una cooperazione internazionale sempre più stretta per essere efficacemente contrastata.

Conclusioni: l’economia del crimine digitale

Il mercato nero delle credenziali streaming rappresenta un microcosmo dell’economia criminale digitale, caratterizzato da sofisticate tecniche di attacco, strutture commerciali organizzate e una resilienza che sfida le tradizionali misure di sicurezza. La comprensione di questo fenomeno è essenziale per sviluppare strategie di difesa efficaci e proteggere l’integrità dell’ecosistema digitale dell’intrattenimento.

La proliferazione di questo mercato illegale dimostra come l’innovazione tecnologica possa essere sfruttata per scopi illeciti, creando nuove forme di criminalità che richiedono approcci multidisciplinari per essere contrastate. Solo attraverso la collaborazione tra istituzioni, aziende tecnologiche e comunità di sicurezza sarà possibile sviluppare soluzioni efficaci per proteggere gli utenti e preservare l’integrità del mercato digitale.

Fonti:

Kaspersky (2025). “Over 7 million streaming accounts’ credentials were leaked in 2024”.

Akamai Technologies (2019). “Akamai Finds Widespread SVOD Credential Attacks From Hacking”.

Check Point Software. “Che cos’è il Credential Stuffing?”

A10 Networks (2025). “Credential Stuffing: Examples, Detection and Impact”.

ASIT. “Watchguard | Il mercato nero delle credenziali, più attivo che mai”.

Panda Security (2024). “Netflix e Disney+ nel mirino dei cybercriminali a causa dell’isolamento”.

ICT Security Magazine. (2025). “L’evoluzione dell’ecosistema Ransomware”.

Domande frequenti

Come rubano gli hacker gli account di streaming?

Con credential stuffing automatizzato tramite botnet, con phishing che imita le email dei servizi originali e con malware infostealer che raccolgono silenziosamente le credenziali di accesso.

Quanto costano gli account streaming rubati?

Le credenziali Netflix costano circa 3,25 dollari e quelle Disney+ prezzi simili. Check Point Research ha trovato canali Telegram con piani Premium di Netflix da 190 rupie indiane, circa 2 euro.

Perché il credential stuffing funziona così bene?

Perché gli utenti riutilizzano le stesse credenziali su più piattaforme. Gli aggressori provano con botnet combinazioni sottratte da altri servizi e usano reti di proxy per aggirare i blocchi per singolo indirizzo IP.

Che cosa ha scoperto la Guardia di Finanza sugli abbonamenti streaming illegali?

Reti criminali con guadagni superiori a 500.000 euro dalla rivendita di abbonamenti illegali. In un caso oltre 1.800 persone sono state denunciate per ricettazione, con sanzioni complessive di circa 300.000 euro.