I sistemi per proteggere i propri account dai cyberattacchi: come strutturare le password

Ecco come proteggere meglio i propri sistemi dai cyberattacchi con alcuni accorgimenti che riguardano le password

Molto spesso le violazioni degli account da parte dei cybercriminali possono essere ricondotte a password deboli o rubate. Una ricerca condotta da Proofpoint per il rapporto State of the Phish del 2023 ha rilevato che solo il 31% degli utenti inserisce manualmente una password univoca per ciascun account di lavoro. Quel che è peggio è che l’8% di loro ha addirittura rivelato la propria password quando si è trovato in situazioni di emergenza o di difficoltà. Una ingenuità che non si dovrebbe mai commettere!

Queste statistiche preoccupanti sottolineano i rischi derivanti da una cattiva gestione delle password. Quando gli utenti non prendono sul serio la sicurezza delle password, il rischio di subire attacchi esterni aumenta in modo esponenziale. Per ridurre il rischio di perdita di dati e compromissione dell’account esistono determinate tecniche comuni di cracking delle password che in questa guida vogliamo suggerirti per tenere al sicuro i tuoi account.

Cos’è il cracking delle password?

Il cracking delle password si riferisce in genere al processo di recupero di password criptate. Può essere utilizzato per aiutare un utente a recuperare una password dimenticata o per aiutare un amministratore di sistema a verificare la presenza di password deboli. Ma più spesso, il cracking delle password viene utilizzato da malintenzionati per ottenere l’accesso non autorizzato a sistemi e risorse.

Essendo un vettore di attacchi informatici, il cracking delle password è incredibilmente vario. Gli autori delle minacce utilizzano strumenti specializzati, molteplici tecniche e adottano tattiche complementari per aumentare le loro possibilità di successo. Per avere un quadro più chiaro di come si incastrano tutti insieme, va chiarito che sono due i sistemi a cui ricorrono i cybercriminali per entrare negli account: o provano ad indovinare la password o provano a craccarla.

Indovinare la password e crackarla non sono la stessa cosa, anche se i termini sono spesso confusi. L’indovinare la password è una tecnica online in cui un malintenzionato utilizza varie combinazioni di caratteri nell’arco di una serie di tentativi ed errori. Al contrario, il cracking delle password si riferisce a un processo offline in cui un utente malintenzionato tenta di decifrare le password in chiaro dai loro moduli crittografati.

Esistono diverse strategie con cui gli autori delle minacce violano le password. Il primo sistema è quello di utilizzare script automatizzati per provare possibili password finché non funziona quello corretto. E’ un sistema che normalmente richiede molto tempo perché occorre sperimentare varie sequenze. Più lunga è la password, più tempo ci vorrà.

Gli attacchi hanno più successo quando gli utenti dispongono di password comuni o deboli, che possono essere “indovinate” dagli strumenti in pochi secondi. Per decifrare una password complessa potrebbero essere necessarie alcune ore o giorni.

Come proteggere i propri account?

Gli amministratori di sistema che desiderano difendersi da questi attacchi hanno diverse opzioni per potersi proteggere e prevenire gli attacchi informatici. Il primo sistema è quello di limitare il numero di volte in cui è possibile provare una password. Un altro sistema potrebbe essere quello di bloccare un indirizzo IP dopo che ha tentato, senza riuscirci, di inserire la password corretta per un certo numero di volte.

E’ possibile inserire il blocco degli account dopo un certo numero di tentativi di accesso non riusciti
In alternativa si può anche aggiungere un CAPTCHA o aggiungere l’autenticazione a più fattori. E’ molto probabile che gli hacker si concentrino sulle parole più probabili invece di provarle tutte. Alcuni utenti scelgono password facili da ricordare, come “password” o “123abc”. Altri seguono modelli prevedibili che possono variare in base alla regione: gli utenti potrebbero scegliere parole correlate alle loro squadre sportive preferite.

Il Credential stuffing ad esempio è la tecnica che i malintenzionati sfruttano basandosi sull’abitudine di molti utenti di riutilizzare gli stessi nomi utente e password per più account. Poiché sempre più credenziali vengono esposte attraverso le violazioni dei dati, le opportunità per questo tipo di attacchi aumentano. Lo scopo di questi attacchi è identificare le combinazioni di account che funzionano e possono essere riutilizzate su più siti.

Questi attacchi hanno una percentuale di successo relativamente bassa, ma l’impatto di un attacco botnet su larga scala è spesso devastante. Alla luce di queste considerazioni, per proteggere i propri account sarebbe sempre meglio usare password lunghe che contengano lettere, numeri e simboli ben combinati tra loro evitando di utilizzare le stesse login e le stesse password nei siti in cui ci si registra.