Settimana 16: Una sola password per tanti account – un’abitudine molto rischiosa
L’UFCS riceve regolarmente segnalazioni da parte di persone i cui conti online sono stati indebitamente sottratti, nonostante non abbiano mai rivelato la loro password. È qui che casca l’asino: anche una sola password trafugata è spesso sufficiente a mettere a rischio non solo uno, ma più account. Chi utilizza la stessa password per diversi servizi facilita il lavoro ai cibercriminali, che possono innescare un’intera reazione a catena con un solo colpo. Le conseguenze sono particolarmente gravi se si riesce a reimpostare e ad appropriarsi di altri account utilizzando la funzione «Password dimenticata».
Su Internet circolano milioni di dati di accesso rubati da precedenti fughe di dati, spesso liberamente accessibili nei forum o sul darknet. I cibercriminali utilizzano questi dati specificamente per i cosiddetti attacchi di «credential stuffing».
Che cos’è il «credential stuffing»?
Il «credential instuffing» consiste in tentativi automatizzati di accesso su varie piattaforme che provano un gran numero di combinazioni nome utente/password conosciute. L’impegno richiesto è minimo, poiché a svolgere l’attività è un software o un bot. Se si utilizza la stessa password per diversi servizi, si rischia di scatenare una reazione a catena e di perdere l’accesso a diversi account.
Perché l’account di posta elettronica è particolarmente critico
Le conseguenze sono particolarmente gravi se i criminali riescono ad accedere all’account e-mail. Poiché la maggior parte delle piattaforme consente di reimpostare la password inviando un link all’e-mail memorizzata, anche tutti gli altri account possono essere reimpostati in questo modo. Con un singolo account di posta elettronica compromesso, i cibercriminali possono gradualmente prendere il controllo di tutti gli account collegati di una persona, dai social network ai negozi online.
Gli espedienti dei malfattori
I cibercriminali sono particolarmente astuti nel loro approccio, agendo in modo tale che la persona colpita non se ne accorga il più a lungo possibile. In alcuni casi impostano tacitamente una regola di inoltro nell’account di posta elettronica implicato: i messaggi in arrivo vengono automaticamente inoltrati a un indirizzo appartenente ai criminali senza che la vittima se ne accorga. In altri casi, la casella di posta elettronica viene deliberatamente inondata da una marea di e-mail di spam. Di conseguenza, le notifiche importanti, come le e-mail di conferma del cambio di password o della compromissione di un account con altri servizi, diventano un ago nel pagliaio e rimangono occultate alla vittima. Quando il malcapitato si rende conto dell’accaduto, i cibercriminali si sono già impossessati di diversi account.
Dopo le fughe di dati, i dati di accesso rubati vengono spesso pubblicati o venduti in grandi quantità. Servizi come «Have I Been Pwned» consentono di controllare il proprio indirizzo e-mail e di scoprire se questo è apparso in una fuga di dati nota. Le persone colpite spesso non si rendono conto che i loro dati sono in circolazione da anni e che la loro password è da tempo nelle mani dei cibercriminali.
Raccomandazioni
- Utilizzate una password diversa e sicura per ogni servizio online. Una password utilizzata una sola volta può essere compromessa una sola volta.
- Utilizzate un gestore di password. Questi strumenti creano e memorizzano password complesse e uniche per ogni servizio. È sufficiente ricordare un’unica password principale.
- Attivate l’autenticazione a due fattori, ove possibile. Anche se la password cade nelle mani sbagliate, un secondo fattore di sicurezza impedisce l’accesso non autorizzato.
- Controllate regolarmente se il vostro indirizzo e-mail è apparso in una fuga di dati, per esempio tramite Have I Been Pwned o il programma Identity Leak Checker dell’Istituto Hasso Plattner.
- Cambiate immediatamente le password se venite a sapere che un servizio che utilizzate è stato vittima di una fuga di dati.
- Prestate particolare attenzione alla sicurezza del vostro account di posta elettronica, che funge da chiave per tutti gli altri account. Deve essere protetto con una password unica e forte e con l’autenticazione a due fattori.
Ulteriori informazioni
Quando una password rischia di compromettere più account
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria: