Scopri come controllare se le tue password sono rimaste coinvolte in un data breach.
L’elemento informatico meno sicuro e che crea più problemi è la password. I cybercriminali fanno di tutto per scoprire le nostre credenziali, per cui non possiamo limitarci a creare password efficaci, dobbiamo anche controllare che non vengano rubate nel corso di un data breach.
Questa è la nuova prassi di cybersicurezza per privati e PMI che vogliono proteggere in maniera proattiva i propri account e dati personali: monitorare le credenziali per modificare quelle che sono state rubate prima che vengano utilizzate in un attacco informatico.
In questo post ti spieghiamo come controllare le tue password, come gestirle in modo sicuro e quali software puoi usare per semplificarti la vita. Continua a leggere!
La sicurezza delle password
Nella maggior parte dei casi, la password è l’unica cosa che separa un cybercriminale dai nostri dati e dai nostri soldi. Per questo motivo, nel tempo abbiamo sviluppato principi e strumenti per migliorarne la sicurezza, nonostante molte persone continuino a utilizzare password deboli e pericolose, come nome e cognome del partner o la propria data di nascita.
Tuttavia, in molti casi creare una password sicura non è sufficiente, perché anche le più grandi aziende del mondo subiscono periodicamente dei data breach e a volte le nostre credenziali vengono rubate insieme a quelle di milioni di altri utenti. Per questo, una buona gestione delle password si fonda su 4 pilastri:
- Creare password sicure
- Abilitare l’autenticazione a 2 fattori
- Utilizzare un password manager
- Monitorare le violazioni delle password
Questi principi non sono esclusivi delle grandi aziende e valgono anche per i singoli utenti che non dispongono di soluzioni informatiche su misura né del supporto continuo di un tecnico informatico.
Ai primi tre punti abbiamo dedicato vari articoli che puoi cercare nel nostro blog. A continuazione, invece, parleremo del monitoraggio delle violazioni.
Nella maggior parte dei casi, la password è l’unica cosa che separa un cybercriminale dai nostri dati e dai nostri soldi.
Perché controllare le violazioni delle password
I sistemi di sicurezza informatica per privati sono sempre più potenti, per cui i cybercriminali hanno creato tecniche più efficienti rispetto agli attacchi individuali (ancora utilizzati, ma per lo spear phishing di profili di alto livello).
Durante i data breach ai danni delle multinazionali vengono trafugati milioni di credenziali, che poi vengono accorpate in database e rivendute nel mercato nero del dark web. Così, a distanza di anni, altri gruppi di hacker acquistano queste credenziali e le utilizzano per lanciare cyberattacchi di massa, in gergo conosciuti come credential stuffing e password spraying.
In pratica, una volta in possesso dell’elenco di password, gli hacker sviluppano software e reti informatiche in grado di provare a inserire le password su migliaia di piattaforme online, in modo da massimizzare le probabilità di riuscita. Inoltre, tramite varie tecniche di social engineering, le informazioni contenute nelle password rubate possono essere ricombinate per indovinare altre credenziali di altri sistemi.
Insomma, ogni informazione trafugata, ogni singola password rubata durante un data breach e tutti i piccoli indizi offerti inconsapevolmente sui social network contribuiscono a creare un enorme volume di dati che gli hacker hanno imparato a sfruttare per violare gli account online delle persone.
È per questo che il NIST consiglia espressamente di controllare periodicamente lo stato delle password e verificare che non siano rimaste coinvolte in una violazione di dati, in modo da modificare quelle compromesse.
LEGGI ANCHE: 8 miliardi di data breach in 10 anni.
Come monitorare le password
Esistono vari servizi a pagamento per monitorare in modo automatico lo stato delle password, ma sono più utili per le aziende piuttosto che per i privati. La maggior parte delle persone può utilizzare le funzionalità di Google e il servizio di Have I been Pwned?, che attualmente è il punto di riferimento del settore ed è completamente gratuito.
Su questo sito web possiamo inserire l’indirizzo email che usiamo come nome utente e scoprire se è associato a un data breach. In caso affermativo, dovremo modificare le password associate a quell’indirizzo email. In teoria, la password a rischio è quella che utilizzavamo insieme all’indirizzo email per accedere all’account violato in quel preciso momento. Purtroppo, quasi nessuno ha una cronologia delle password di tutti gli account, per cui la soluzione più sicura è modificare tutte le password associate al nome utente.
Ricorda: il fatto che finora tu non abbia subito un attacco non significa che non possa succedere in futuro. Il tentativo di violazione dell’account non è automatico e a volte possono passare anni prima che un hacker utilizzi il database di credenziali rubate.
Il servizio di Google
Google Chrome ha una funzione di controllo delle password, nata come estensione con il nome di Password Checkup e successivamente integrata nel browser stesso. Per questo, se non l’hai ancora fatto, è una buona idea attivare il monitoraggio automatico delle password con Google.
In Chrome, apri le impostazioni e vai a Privacy e sicurezza. Nella sezione Protezione standard, vai all’opzione Ricevi un avviso se le password vengono esposte a causa di una violazione dei dati e attiva l’interruttore sulla destra.
Inoltre, puoi controllare quando vuoi lo stato delle password salvate visitando la pagina https://passwords.google.com/ e utilizzando lo strumento Controllo password.
Il fatto che finora tu non abbia subito un attacco non significa che non possa succedere in futuro.
Sicurezza avanzata delle password
Come abbiamo accennato, esistono strumenti a pagamento che confrontano le password con più database. Nonostante Have I been Pwned? sia più che sufficiente per un singolo utente, potresti provare uno di questi servizi, come Dehashed, o uno scanner del dark web, che cerca frammenti di credenziali e intere password all’interno della parte sommersa e meno conosciuta di Internet. Tuttavia, tieni presente che il dark web è un luogo che cambia continuamente, per cui l’efficacia di questi servizi non è dimostrata al 100%.
Per amministrare le tue password in modo sicuro e prevenire cyberattacchi, segui le best practice che abbiamo descritto all’inizio del post, controlla spesso Have I been Pwned? e soprattutto usa il nostro password manager, che semplifica la gestione e la creazione di password sicure per tutti i tuoi account.
Buona navigazione e buon monitoraggio delle password!