Stanno aumentando, in questi giorni, gli avvisi di sicurezza su iPhone e Chrome che suggeriscono agli utenti di cambiare le proprie password in quanto risultano essere compromesse a seguito di recenti violazioni di dati massive.
Non sottovalutiamo l’allarme, perché il rischio che qualcuno riesca ad accedere ai nostri account e a rubarci l’identità è davvero molto elevato.
Password compromesse: come scoprire se i nostri account sono ancora sicuri
Indice degli argomenti
Password compromesse, perché iPhone e Chrome ci chiedono di cambiarle
In particolare, gli utenti stanno ricevendo numerose notifiche push sul proprio iPhone o nel browser Chrome generate dai sistemi di monitoraggio delle password integrati nelle ultime versioni di iOS e Chrome.
Se gli utenti hanno questa funzionalità attivata, il sistema di monitoraggio delle password sarà sempre alla ricerca di corrispondenze tra le password utilizzate dagli utenti stessi e quelle che sono trapelate online, avvisandoli qualora ci fosse un problema.
RockYou 2021: il più grande archivio di password rubate
L’origine della compromissione di così tante password risale ai primi giorni dello scorso mese di giungo, quando su un popolare forum underground è stato pubblicato quello che, molto probabilmente, è il più grande archivio online di password rubate: è stato rinominato RockYou 2021 (per differenziarlo da una precedente versione pubblicata nel 2009) e si tratta di un file di testo da 100 gigabyte contenente 8,4 miliardi di password (per l’esattezza: 8.459.060.239 voci uniche) che si presume siano state “raccolte” in occasione di vecchie violazioni di account online e ora raggruppate in un’unica lista.
Secondo quanto riportato dall’autore del post sul forum di hacker, le password contenute nell’archivio RockYou 2021 sono lunghe da 6 a 20 caratteri, con caratteri non ASCII e spazi bianche rimossi.
Gli esperti di sicurezza di Cybernews hanno verificato, inoltre, che nell’archivio RockYou 2021 sono comprese anche i 3,2 miliardi di password della Compilation of Many Breach (CoMB). E, probabilmente, anche i 32 milioni di password contenute nell’archivio RockYou e trafugate dai server di una nota app social in quanto memorizzate in chiaro.
Perché è importante cambiare subito le password compromesse
Alla luce di quanto detto, è evidente che non bisogna sottovalutare o, peggio ancora, ignorare i messaggi di alert visualizzati dall’iPhone o da Chrome (anche Firefox, nelle ultime versioni, ha integrato la funzione Lockwise che controlla continuamente un’eventuale corrispondenza tra le password degli utenti e quelle rese pubbliche online nei forum di hacking).
Il problema di vedersi compromessi i propri account, inoltre, si acuisce ulteriormente nel caso in cui la stessa password venga riutilizzate per accedere a differenti account: utilizzando attacchi di credential stuffing o password spraying (una tecnica di attacco che tenta di accedere ad un gran numero di account usando poche password comunemente utilizzate), infatti, i criminal hacker potrebbero teoricamente accedere a miliardi di account online.
Attacchi credential stuffing: cosa sono e come difendersi dal furto di identità online
Considerando il fatto che nel mondo sono online circa 4,7 miliardi di persone, è facile supporre che l’archivio RockYou2021 includa potenzialmente le password dell’intera popolazione globale online. Per questo motivo, si raccomanda agli utenti di controllare immediatamente se le loro password sono state incluse nella fuga di notizie.
Regole di base per creare password sicure
A prescindere dal fatto che la propria password compaia o meno tra quelle compromesse contenute nell’archivio RockYou 2021, è sempre bene applicare le regole di base per creare una password sicura e proteggerla da qualsiasi tipo di attacco:
- innanzitutto, la password deve essere sempre diversa, lunga almeno 12 caratteri scelti tra lettere maiuscole, minuscole, numeri e caratteri speciali e, possibilmente, non deve contenere nomi o parole comuni facilmente rintracciabili attraverso uno dei tanti dizionari che i criminal hacker utilizzano per portare a termine attacchi di tipo brute force;
- inoltre, nel creare la propria password bisogna evitare di usare sequenze o caratteri ripetuti come, ad esempio: 12345678, 2222233333 o abcdefg;
- bisogna evitare di usare parole di senso comune scritte al contrario: anche in questo caso, sarebbero facilmente individuabili con un comune dizionario di password;
- allo stesso modo, bisogna evitare di usare abbreviazioni di nomi o parole comuni;
- da evitare, anche, le password contenenti informazioni personali o dei propri familiari come il nome, la data di compleanno o eventuali soprannomi o vezzeggiativi che, magari, un criminal hacker potrebbe reperire facilmente nei post sui social network;
- infine, bisogna evitare di creare una password sostituendo lettere con simboli, come ad esempio: “a” con “@”, “e” con “&” o “3”, “s” con “$”.
Attacco alle password: tecniche di cracking e consigli per metterle al sicuro
