Il maxi-archivio con miliardi di password rubate: cosa fare

La prima chiave d'accesso dei cyber-criminali per hackerare profili, documenti, dati sensibili e quant'altro è la "parola d'ordine" indispensabile assieme all'account: ovviamente parliamo delle password che tutti noi utilizziamo nella vita quotidiana per districarci tra social, mail e i vari profili che le richiedono. Ebbene, i ricercatori di Cybernews hanno scoperto quella che sembra essere la più grande raccolta di password rubate trovata fino a oggi che ne conta quasi 10 miliardi, un'enormità.

Cosa succede nel database

L'infinito file con i dati, chiamato rockyou2024.txt, è stato pubblicato il 4 luglio da un cybercriminale del forum chiamato "ObamaCare": anche se la sua registrazione risale a poco più di un mese fa, in passato l'utente aveva condiviso un database con password rubate a dipendenti dello studio legale Simmons & Simmons, un altro archivio con i dati sensibili di un casinò online e le domande di iscrizione degli studenti al Rowan College della contea di Burlington. Il team ha incrociato le password incluse nella fuga di notizie di RockYou2024 con i dati precedenti scoprendo che tutte queste password provenivano da un mix di vecchie e nuove violazioni di dati.

Cos'è il credential stuffing

"Nella sua essenza, la fuga di notizie di RockYou2024 è una raccolta di password del mondo reale utilizzate da individui in tutto il mondo e rivela che molte di queste password aumentano sostanzialmente il rischio di attacchi di 'credential stuffing'", hanno spiegato i ricercatori. Ma cosa significa questa espressione inglese? Tradotta letteralmente con "riempimento di credenziali", i criminali informatici se ne servono per utilizzarle in migliaia di piattaforme web diverse, dagli utenti privati alle aziende.

Alcuni esperti spiegano che il credential stuffing è un metodo di "attacco informatico in cui gli aggressori utilizzano elenchi di credenziali utente compromesse per violare un sistema e si basa sul presupposto che molti utenti riutilizzino nomi utente e password su più servizi. Le statistiche mostrano che circa lo 0,1% delle credenziali violate tentate su un altro servizio si tradurrà in un accesso riuscito", spiega Imperva, società americana di software e servizi.

Come proteggersi

Si può facilmente intuire che vengono presi di mira soprattutto i dati per accedere a mail, social e home banking. Per proteggersi esistono semplici e basilari regole che complicheranno la vita agli hacker: innanzitutto è bene attivare l'autenticazione a due fattori, ovvero l'accesso a un'area riservata tramite un codice a sei cifre che verrà generato automaticamente dopo che avremo inserito correttamente la nostra password. Lo stesso discorso vale anche per il riconoscimento facciale o le impronte digitali (nei dispositi che li prevedono) per autenticare che siamo noi a effettuare l'accesso e non un malintenzionato.

La seconda regola è ancora più semplice: le password vanno cambiate spesso (massimo ogni due-tre mesi) e devono risultare complesse. Cosa significa? Che sarebbe buona norma inserire almeno una lettera maiuscola, almeno uno o due numeri e anche un carattere speciale (come punti esclamativi, parentesi, ecc.). Per essere sicuri che un nostro account è stato hackerato esistono alcuni siti web che, dopo aver inserito l'indirizzo che si desidera controllare, fanno il quadro della situazione: uno di questi si chiama haveibeenpwned.com, un altro è cybernews.

com/password-leak-check.

Chi dovesse scoprire che ha avuto una mail o un profilo social hacherati, è bene che cambi immediatamente le credenziali d'accesso bloccando sul nascere nuovi tentavi dai malintenzionati informatici.