Cerca e trova immobili
Le contromisure da adottare contro una minaccia subdola e che non risparmia nessuno; Istituzioni, aziende e individui
Cosa sono?
Sono un tipo di attacco perpetrato da un hacker criminale, che tenta di appropriarsi dell’accesso a più di un account alla volta, utilizzando un gruppo di credenziali anch’esse rubate. Il fatto che oltre due terzi degli utenti riutilizzi ad oltranza la stessa password praticamente per tutte le proprie utenze, rende questi tipi di assalto, purtroppo, molto efficaci. Dagli account social, ai programmi aziendali, fino a dati di accesso a conti bancari, questi criminali riescono in pochi minuti o in una manciata di ore a compromettere questi dati ed utilizzarli per ulteriori violazioni e truffe.
Come funzionano?
Il problema di fondo, la vera vulnerabilità, è che il furto avviene proprio per colpa del riutilizzo delle password. Purtroppo succede con molta frequenza che utenti poco consapevoli impieghino con leggerezza le stesse credenziali per diversi account, rendendo di fatto vulnerabili la grande maggioranza se non tutti gli account ad attacchi. Per sferrare assalti su più fronti e su più dispositivi vengono utilizzati strumenti come i BotNets, per permettere ai criminali di ampliare la loro possibilità di attacco con un singolo gruppo di credenziali. Secondo lo studio annuale “2017 Data Breach Investigations Report 10th ed.” edito da Verizon nel 2017, oltre l’80% delle violazioni segnalate sono attribuibili all’uso di password non sicure e quindi compromesse. Ma se questa realtà appare ormai chiara, perché gli individui continuano ad ostinarsi con l’utilizzo delle stesse password per tutte le utenze? Nel caso il furto di credenziali vada a segno, l’utente è potenzialmente sotto il controllo totale dell’aggressore, il quale potrebbe disporre dei suoi account di online banking o dei profili social, per citarne alcuni, fino ad arrivare alla sottrazione di denaro, all’estorsione o al furto di identità
Come individuarli?
Partiamo con il fatto che individuare un attacco di furto di credenziali in anticipo potrebbe salvaguardare da un disastro successivamente. L’impiego di uno strumento di verifica a due fattori A2F/AMF sono un modo efficace per proteggere preventivamente gli account e per accorgersi, attraverso il metodo di verifica scelto (es. SMS, Autenticator, ecc) che qualcuno stia cercando di accedere alle nostre credenziali. Un altro sistema molto utile per accorgersi che i propri dati sono stati rubati, è utilizzare uno strumento di “Breach”, il quale monitorando e scannerizzando costantemente il dark web, ci segnala se uno qualunque degli account sia stato violato, permettendoci di reagire subito. Per situazioni più delicate come utenti aziendali, esistono altre strategie e strumenti come; rilevatori di anomalie di traffico con BOT, in grado di individuare anomalie presenti nel traffico web in entrata ed uscita; effettuare regolarmente la scansione dei database per accessi condivisi a rischio di violazione; utilizzare per il riconoscimento, delle credenziali biometriche in accoppiamento con una password alfanumerica complessa; utilizzare sempre (e monitorare attentamente) le reti VPN.
Come impedire gli attacchi
L’unica certezza in questo tipo di attacchi, è il fatto che sia impensabile poterli impedire. Siamo semplicemente troppi utenti nel mondo dipendenti nella vita di tutti i giorni dall’interconnessione di pc e smartphone, con i quali scambiamo miliardi di dati. Un bottino troppo attraente per gruppi criminali e hackers senza scrupoli, pronti a vendere i nostri dati al miglior offerente o, peggio ancora, senza essere mossi da nessuna motivazione economica, per il semplice gusto di creare enorme caos pubblicando dati sensibili di migliaia di persone. L’unica possibilità, è quella di non lasciare spazio ad un eventuale opportunità di appropriarsi delle nostre credenziali, eliminare la sola superficie d’attacco disponibile, la sola vulnerabilità su cui noi possiamo agire in maniera diretta e proattiva: le password. Il semplice rimedio di sostituire frequentemente le parole d’accesso non è oggi più fisicamente realizzabile, in un panorama nel quale l’utente medio ha probabilmente almeno 15/20 credenziali, non è praticabile pensare di farlo in prima persona. Le password assegnate non sarebbero adeguate sotto il profilo della sicurezza perché sempre troppo semplici, se invece fossero di una sicurezza e complessità sufficiente, dovremmo vivere con block notes dove appuntarle e cambiarle ciclicamente, con il rischio di perderle o con il rischio che finiscano in mano a qualcuno non autorizzato. L’unica soluzione a questa vulnerabilità, risulta essere l’impiego di un Sistema di Gestione delle Password, ovvero un applicativo creato ad hoc sul quale tutte le informazioni sensibili come credenziali di accesso a siti, ma anche documenti, carte di credito, foto e video di importanza professionale per citarne alcune, vengono contenute in una sola “cassetta di sicurezza”, a cui solo l’utente designato può accedervi attraverso un doppio sistema di riconoscimento, ad esempio biometrico ed SMS. Una funzionalità fondamentale risulta essere quindi che tutti gli applicativi che richiedono autenticazione, siano poi lanciati in maniera sicura, senza dover ancora compilare delle informazioni, rendendole quindi intercettabili. Ovviamente, queste informazioni dovranno essere contenute in un ambiente cloud criptato ed affidabile, raggiungibile anche a più persone all’interno della famiglia o dell’organizzazione (sempre con la giusta autorizzazione) e di conseguenza condivisibile in maniera sicura.
A cura di: Ferretto Marcello
La Nostra Azienda può fornirvi, in sinergia con i più sofisticati servizi di Cyber Security impiegabili, il Sistema di Gestione delle Password più smart, efficace e sicuro ad oggi disponibile. Questo prodotto, costruito su architettura Zero-Knowledge, scalabile e personalizzabile sulle esigenze del singolo individuo, della famiglia e della piccola impresa come della grande Corporate, è lo strumento definitivo in grado di custodire tutte le vostre informazioni più sensibili e riservate.
