Cos'è una violazione delle password?
Una violazione delle password si verifica quando le password o altre credenziali di accesso vengono esposte a una persona non autorizzata o vengono ottenute tramite un incidente di sicurezza.
Una violazione può verificarsi quando un servizio online viene compromesso e le informazioni memorizzate da quel servizio vengono rubate. Le credenziali possono anche essere esposte tramite phishing, malware, software malevolo o altri attacchi che prendono di mira direttamente gli utenti.
Una violazione non significa necessariamente che ogni password appartenente a ogni utente sia stata esposta. Le informazioni interessate dipendono dallo specifico incidente e dai sistemi coinvolti.
Come avvengono le violazioni delle password?
Ci sono molti modi in cui le credenziali possono essere esposte. Alcuni esempi comuni includono:
- Servizi compromessi — Un utente malintenzionato ottiene accesso non autorizzato ai sistemi o ai database di un'azienda.
- Phishing — Un utente viene ingannato e indotto a inserire le proprie credenziali in un sito web o un'applicazione fraudolenti.
- Malware — Il software malevolo può potenzialmente catturare le credenziali inserite su un dispositivo infetto.
- Credential stuffing — Nomi utente e password precedentemente rubati vengono testati su altri siti web.
- Pratiche di sicurezza deboli — Sistemi protetti in modo inadeguato o credenziali gestite in modo errato possono aumentare il rischio di accesso non autorizzato.
Cosa succede alle password rubate?
Le credenziali rubate possono essere utilizzate nei tentativi di accedere all'account interessato o ad altri account appartenenti alla stessa persona.
Questo è uno dei motivi per cui il riutilizzo della password è particolarmente pericoloso. Se la stessa password viene utilizzata per più servizi e tale password viene esposta in una violazione, gli attaccanti potrebbero provarla altrove.
Gli attacchi automatizzati possono testare un gran numero di combinazioni di nome utente e password precedentemente esposte rispetto ai più diffusi servizi online. Questo tipo di attacco è comunemente noto come credential stuffing.
Perché il riutilizzo della password peggiora le violazioni
Considera un esempio in cui qualcuno utilizza la stessa password per un account di shopping online, un account sui social media e il proprio account e-mail.
Se il servizio di shopping subisce una violazione e quella password diventa nota, l'attaccante ha ora una password che potrebbe funzionare anche sugli altri account.
L'utilizzo di una password diversa per ogni account importante limita i danni che possono derivare da una singola password esposta.
Puoi scoprire di più su questo argomento nel nostro articolo: Perché non dovresti mai riutilizzare le password .
Cosa succede se le password sono sottoposte ad hashing?
Molti servizi online non memorizzano le password degli utenti in testo chiaro. Al contrario, le password vengono in genere elaborate utilizzando tecniche di hashing delle password prima di essere memorizzate.
L'hashing e la crittografia sono tecnologie diverse. La crittografia è progettata in modo che gli utenti o i sistemi autorizzati possano decifrare le informazioni originali utilizzando la chiave appropriata. Un sistema di hashing delle password ben progettato ha lo scopo di rendere difficile il recupero della password originale dall'hash memorizzato.
Tuttavia, una violazione può essere comunque grave anche quando le password sono sottoposte ad hashing. Gli attaccanti possono tentare di indovinare le password e confrontare gli hash risultanti con gli hash delle password rubate. Le password deboli o comunemente utilizzate possono essere particolarmente vulnerabili a questi attacchi.
Come si fa a sapere se una password è stata violata?
Alcuni servizi avvisano gli utenti quando un account è stato interessato da un incidente di sicurezza. Anche i ricercatori di sicurezza e i servizi di notifica delle violazioni possono fornire informazioni sulle violazioni dei dati note.
Alcuni gestori di password includono funzionalità di monitoraggio delle violazioni o di controllo delle password che possono aiutare a identificare le password associate a violazioni note.
Tieni presente che nessun database delle violazioni può garantire di contenere ogni credenziale che sia mai stata esposta. L'assenza di una password da un particolare database non dimostra che la password non sia mai stata esposta.
Cosa dovresti fare dopo una violazione della password?
Se scopri che un account è stato interessato da una violazione, cambia la password di quell'account non appena praticabile.
Se hai riutilizzato quella password altrove, cambia anche quelle password. Ogni account dovrebbe avere la propria password unica.
Dovresti anche considerare di abilitare l'autenticazione a più fattori quando il servizio la supporta. Ciò fornisce un fattore di autenticazione aggiuntivo oltre alla password.
Per gli account importanti, come il tuo account e-mail principale, presta particolare attenzione. Il tuo account e-mail può essere utilizzato per reimpostare le password di molti altri servizi.
In che modo un gestore di password può essere d'aiuto?
Ricordare una password forte e diversa per ogni account può essere difficile. Un gestore di password può generare e memorizzare in modo sicuro password uniche in modo da non doverle memorizzare tutte.
Invece di creare variazioni prevedibili della stessa password, puoi utilizzare una password diversa generata casualmente per ogni servizio.
Se un servizio viene violato, la password esposta è quindi meno utile contro i tuoi altri account perché gli altri account utilizzano credenziali diverse.
Cos'è una scansione delle violazioni?
Alcuni gestori di password offrono una funzionalità comunemente chiamata scansione delle violazioni. Questo tipo di funzionalità può confrontare le informazioni associate alle password memorizzate con le informazioni sulle violazioni note.
È possibile utilizzare approcci che tutelano la privacy per eseguire questi controlli senza inviare la password completa a un servizio esterno. Un esempio è la k-anonimato, che consente a un sistema di eseguire determinati controlli delle violazioni senza trasmettere direttamente la password completa.
L'implementazione esatta varia tra i prodotti, quindi vale la pena verificare come un particolare gestore di password esegue i controlli delle violazioni e quali informazioni lasciano il dispositivo.
Violazioni delle password e KeenPassword Vault
KeenPassword Vault include una funzionalità di scansione delle violazioni progettata per aiutare a identificare le password associate a dati di violazioni noti.
La scansione utilizza un approccio basato sulla k-anonimato. Le tue password effettive e la chiave principale non vengono inviate attraverso la rete durante il controllo delle violazioni.
KeenPassword Vault è progettato anche come gestore di password 100% offline. La tua cassaforte rimane memorizzata localmente sul tuo computer Windows anziché essere sincronizzata su un account cloud.
Mantenere le password uniche, utilizzare credenziali forti e verificare periodicamente la presenza di esposizioni note sono tutti elementi utili per mantenere una buona sicurezza delle password.
In sintesi
Una violazione delle password può esporre credenziali che gli attaccanti potrebbero tentare di utilizzare contro l'account interessato o altri account.
Uno dei modi più efficaci per ridurre l'impatto di una password violata è utilizzare una password unica per ogni account. Un gestore di password può renderlo pratico generando e memorizzando password forti e uniche.
Se un account è interessato da una violazione, cambia la sua password, cambia eventuali password riutilizzate altrove e considera l'abilitazione dell'autenticazione a più fattori laddove disponibile.