Crunchyroll, violato un fornitore: a rischio dati personali e carte di credito degli utenti

Un grave incidente informatico potrebbe aver esposto i dati personali di milioni di abbonati a Crunchyroll, la piattaforma di streaming anime di proprietà Sony. In base alle informazioni disponibili, il data breach non avrebbe colpito direttamente i sistemi di Crunchyroll, ma quelli di Telus Digital, azienda canadese di outsourcing che gestisce servizi di assistenza clienti per conto di numerose grandi imprese, tra cui la stessa Crunchyroll.

Una serie di attacchi informatici ai danni di Telus Digital avrebbe consentito a un gruppo di criminali di sottrarre circa 100 GB di dati appartenenti ai clienti dell’outsourcer. Tra questi figura Crunchyroll: l’ipotesi più preoccupante è che, oltre a dati tecnici e analitici, possano essere finiti nelle mani degli attaccanti anche elementi legati ai pagamenti. Ecco cosa sappiamo finora, chi rischia di più e quali contromisure adottare subito.

🧩 Cosa è successo: il breach non colpisce Crunchyroll “in prima persona”

Il punto centrale della vicenda è la catena di fornitura. Telus Digital opera come partner esterno per attività di customer care e processi di supporto: questo significa che, pur non essendo parte dell’infrastruttura principale di Crunchyroll, può trattare o accedere a informazioni utili per gestire richieste e operazioni legate agli utenti.

Secondo le ricostruzioni, gli attaccanti avrebbero ottenuto accesso agli ambienti di Telus Digital e, da lì, avrebbero esfiltrato dati riferibili a più clienti. Nel caso specifico di Crunchyroll, si parla di diversi gigabyte di dati analitici sui clienti, con la possibilità che tra le informazioni sottratte rientrino anche dettagli relativi ai pagamenti.

🕵️ L’attacco e il gruppo responsabile: ShinyHunters

La rivendicazione dell’attacco è attribuita al gruppo hacker ShinyHunters, noto per un lungo curriculum di violazioni ad alto profilo. Negli ultimi anni, lo stesso gruppo è stato associato ad attacchi che hanno coinvolto grandi marchi internazionali, tra cui LVMH, Qantas e Jaguar Land Rover.

In questa occasione, ShinyHunters avrebbe dichiarato di aver sottratto circa 1 petabyte di dati complessivi. Per quanto riguarda la dinamica tecnica, alcune ricostruzioni indicano che l’accesso sarebbe stato reso possibile grazie a credenziali di Google Cloud Platform rubate durante una precedente violazione ai danni di Salesloft nel 2025.

Un ulteriore elemento emerso è la possibile esecuzione involontaria di un malware da parte di un dipendente del partner di outsourcing: un errore umano di questo tipo può aprire la porta a movimenti laterali e accessi non autorizzati, soprattutto in contesti dove più clienti condividono processi e strumenti di gestione.

📌 Quali dati potrebbero essere stati esposti

Al momento non esiste un elenco definitivo e ufficiale dei dati effettivamente compromessi per Crunchyroll. Tuttavia, le informazioni circolate finora parlano di dati analitici e tecnici legati ai clienti, tra cui:

• indirizzi email;
• indirizzi IP;
• altri dati di analisi e tracciamento legati all’uso del servizio;
• secondo alcune fonti, anche dettagli di carte di credito.

È importante distinguere tra “possibile esposizione” e “conferma”: l’ipotesi della sottrazione di dati di pagamento è quella più sensibile, ma resta subordinata agli esiti dell’indagine in corso. In ogni caso, anche la sola combinazione di email e informazioni tecniche può alimentare campagne di phishing mirate o tentativi di accesso non autorizzato agli account, soprattutto se l’utente riutilizza password già impiegate altrove.

📣 Telus Digital conferma, Crunchyroll non commenta

Telus Digital ha confermato ufficialmente la violazione il 16 marzo e ha dichiarato che l’indagine sulla natura e sull’entità dei dati potenzialmente compromessi è ancora in corso. Al momento, invece, Crunchyroll non ha rilasciato comunicazioni ufficiali pubbliche sulla vicenda.

Questo non implica necessariamente l’assenza di azioni: in Europa, il GDPR impone alle aziende di notificare alle autorità competenti una violazione dei dati personali entro 72 ore dalla scoperta, pena sanzioni che possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale. È quindi possibile che eventuali notifiche siano state effettuate alle autorità senza una comunicazione pubblica immediata agli utenti.

🎯 Chi è più a rischio: pagamenti diretti vs PayPal e canali esterni

Il livello di esposizione può variare in base a come è stato pagato l’abbonamento. Gli utenti potenzialmente più a rischio sono quelli che hanno effettuato il pagamento direttamente tramite il sito di Crunchyroll con carta di credito o debito, nel caso in cui fossero stati sottratti anche dettagli legati ai pagamenti.

Chi invece ha sottoscritto l’abbonamento tramite canali che non richiedono la condivisione dei dati della carta con Crunchyroll, come PayPal, risulta più protetto rispetto a un’eventuale compromissione di dati di pagamento: in questi casi, infatti, la piattaforma non avrebbe accesso diretto ai dettagli della carta.

In parallelo, negli ultimi giorni alcuni utenti hanno segnalato accessi sospetti ai propri account da Paesi come Bolivia, Cile, Etiopia e Turchia. Non è possibile stabilire con certezza un collegamento diretto tra queste segnalazioni e l’incidente Telus Digital, ma il contesto rende prudente aumentare subito il livello di attenzione. È stato inoltre riportato almeno un caso di tentativo di frode su carta di credito, anche se attribuirlo con certezza a questa specifica vicenda resta complesso.

🛡️ Cosa fare subito per proteggersi

In assenza di conferme definitive su quali dati siano stati effettivamente esfiltrati, la strategia migliore è agire come se le credenziali potessero essere state esposte e ridurre rapidamente la superficie di rischio. Ecco le azioni consigliate:

• Cambiare immediatamente la password di Crunchyroll, scegliendone una lunga, unica e non riutilizzata su altri servizi.
• Usare un password manager per generare e conservare credenziali robuste (ad esempio quelli integrati in Google e Apple, oppure soluzioni di terze parti come 1Password).
• Monitorare gli estratti conto della carta usata per l’abbonamento, controllando addebiti piccoli e ricorrenti (spesso usati per “testare” una carta) e transazioni non riconosciute.
• Contattare la banca per segnalare il rischio e valutare misure come il congelamento della carta o l’emissione di una nuova carta, se necessario.

Inoltre, è buona pratica prestare massima attenzione a email e messaggi che sembrano provenire da Crunchyroll o da servizi di pagamento: in caso di data breach, i tentativi di phishing aumentano e possono essere più credibili perché sfruttano dati reali (come l’indirizzo email) per personalizzare le comunicazioni.

🔎 Cosa aspettarsi nelle prossime settimane

La situazione è in evoluzione e dipende dagli esiti dell’indagine di Telus Digital e dalle eventuali comunicazioni di Crunchyroll. I punti chiave da monitorare sono:

• la conferma ufficiale della tipologia di dati effettivamente compromessi per Crunchyroll;
• l’eventuale notifica agli utenti impattati, se prevista o ritenuta necessaria;
• indicazioni operative aggiuntive su reset credenziali, controlli antifrode o misure di sicurezza.

Nel frattempo, cambiare password e controllare i movimenti della carta resta la combinazione più efficace per ridurre i rischi immediati, soprattutto per chi ha pagato con carta direttamente sul sito del servizio.

Leggi anche: Iphone a rischio hacker