I 4 metodi più comuni per rubare una password

Avremmo potuto usare un termine tecnico per definire l’attività descritta dal titolo, ma volutamente abbiamo utilizzato il verbo che più rende l’idea nel mondo offline di ciò che invece avviene quotidianamente nello spazio virtuale.

rubare: /ru·bà·re/ verbo transitivo – Sottrarre oggetti o denaro di proprietà altrui, con astuzia, sotterfugio e inganno.

A molti sembra ancora strano che il furto di proprietà, oggetti, denaro ecc possa essere legato al mondo dell’hacking. L’hacking (da intendersi nella sua variante “black”) è, invece, tutto questo. Anzi, è molto di più. È il furto di identità, è il furto di dati, è la chiusura di aziende, banche, enti. E’ soprattutto la compromissione di normali servizi per i cittadini. Che sia un blog, una casella mail, il sito o il database di una grossa azienda l’hacker è alla caccia di una porta per entrare e prendere il controllo di ciò che c’è all’interno.

Qual è quindi la prima cosa a cui punta un hacker? Semplice, un accesso.

Per decenni nel mondo informatico la password ha rappresentato meglio di qualunque altro elemento il concetto di “porta”.

Oggi questa associazione inizia a fare acqua da tutte le parti sia per la scarsa qualità d’uso che gli utenti fanno delle password, sia perché le tecniche d’attacco diventano sempre più sofisticate.

Qui di seguito elenchiamo i metodi più comuni utilizzati dai cyber criminali per poter rubare una password, con tutte le conseguenze del caso.

1- Phishing

L’attacco assolutamente più comune. Quello di cui tutti siamo stati vittima (consapevole o meno) almeno una volta. Il phishing oggi continua dopo anni ad essere al primo posto nella classifica assoluta dei cyber crimini. C’è un aspetto particolare del phishing che lo rende, a mio avviso, un evergreen: sfrutta massimamente la scarsa cultura digitale delle vittime. Per chi ancora non conoscesse questo tipo di attacco, si tratta un messaggio mail (il più delle volte) che invita ingannevolmente la vittima ad eseguire una delle seguenti azioni:

• Inserire credenziali account di un determinato servizio
• Inserire dati bancari
• Aprire un file o avviarne il download
• Avviare l’installazione di un software

Queste quattro situazioni si possono declinare in svariate tipologie di attacco da parte del malintenzionato. Nei primi due casi (facile intuirlo) l’hacker avrà a disposizione le credenziali di accesso a un determinato account dal quale potrà estrapolare dati altamente sensibili che potrebbero essere utilizzati per scopi malevoli.

Nel terzo e quarto caso può succedere letteralmente di tutto. Il sistema può essere infettato da un trojan, può essere inibito da un ransomware, spiato tramite keylogging, violato per creare un backdoor e molto altro. Ma qui siamo già al secondo metodo della nostra classifica.

2- Malware

Il phishing è solo uno dei modi attraverso cui un malcapitato utente può installare un software malevolo, meglio noto come malware. Questi software rappresentano un metodo d’attacco a parte e si sviluppano in diverse sottocategorie. Fra le più utilizzate per violare i sistemi comuni troviamo:

• Trojan: programmi apparentemente utili o innocui che, eseguiti spontaneamente dall’utente, attivano un codice malevolo contenuto al loro interno creando dinamiche disfunzionali all’interno del sistema, fra cui il furto di credenziali d’accesso. è infatti consuetudine che molti keylogger vengano installati tramite trojan.
• Keylogger: è un software in grado di registrare ciò che viene digitato dalla vittima sulla tastiera del dispositivo infetto e di inviare il tutto all’attaccante che osserva da remoto. Sono software utilizzatissimi per intercettare credenziali e password e sono molto difficili da individuare. Sono altresì programmi molto semplici e facilmente reperibili anche nel mercato comune, il che aumenta la loro utilizzabilità ed efficacia.
• Spyware: sono software che spiano l’attività online di un utente per raggiungere obiettivi fra i più disparati quali l’invio di pubblicità spam, la modifica della pagina iniziale del browser e della barra dei preferiti, il redirecting su siti truffaldini al fine di estorcere alla vittima credenziali di accesso.
• Backdoor: sono software che creano un accesso remoto e non autorizzato al sistema infetto. Anche questi vengono spesso veicolati dai Trojan.

3- Social Engineering

Come nei migliori polizieschi, il ladro si maschera da guardia. È un classico, ad esempio, che l’hacker si spacci per un technical support specialist al fine di sottrarre dati importanti alla vittima, fra cui password di accesso. l’attaccante cerca un contatto diretto con la vittima (tramite telefono, social, video call) ed estorce le informazioni. Un famoso caso riguarda il CEO di una importante compagnia energetica inglese che è stato aggirato da un tool che simulava la voce della sua assistente. Il data breach che ne è seguito ha causato una perdita di 201.000,00 sterline.

4- Attacco brute force

L’attacco di “forza bruta” prevede che l’hacker indovini la password della vittima. Questa definizione rimane molto vaga. La password può infatti essere indovinata per la sua semplicità o ripetitività. Questi attacchi sono particolarmente efficaci in quanto sfruttano l’esigenza degli utenti di ricordare facilmente la/le password utilizzate.

Sfruttare la semplicità /ripetitività della password è il metodo base. Gli hacker hanno a disposizione algoritmi complessi che associano, secondo criteri di probabilità, gli usernames alle password o anche una parte della password alla sua continuazione. Insomma, anche su questo versante, i criminali hanno affinato la loro tecnica.

La soluzione è d’obbligo: liberarsi delle password

La prima difesa contro i cyber attacchi è indubbiamente una buona cultura digitale degli utenti.

Un utente mediamente consapevole oggi riesce ad evitare con facilità i più semplici attacchi di phishing arginando le possibili conseguenze. Ma come far fronte alla vastità di attacchi possibili?

La scelta d’obbligo a nostro avviso è oggi una sola: liberarsi delle password.

Yubico è un produttore svedese ufficialmente distribuito da Allnet-Italia che fornisce a privati e pubbliche amministrazioni la risposta ai problemi sopra elencati: le yubikeys.

Yubico supporta il moderno protocollo di autenticazione fido2 oltre ai più comuni protocolli legacy il che rende la yubikey una soluzione idonea a proteggerci in tutti gli ambienti più comuni come social, crm, windows access e molti altri.

Il team di Allnet-Italia è sempre a vostra disposizione per proteggere la vostra azienda e i vostri clienti dalle minacce digitali.