Le password sono la prima linea di difesa contro gli accessi non autorizzati. La compromissione delle password può consentire agli hacker di accedere a informazioni personali, finanziarie e aziendali, portando a danni potenzialmente devastanti. Per le aziende, la perdita di dati sensibili può causare non solo problemi finanziari, ma anche danni alla reputazione e all’affidabilità. Un report di IBM del 2023 ha indicato che le credenziali compromesse sono responsabili di circa il 19% di tutte le violazioni dati, il cui costo medio di raggiunge i 4,45 milioni di dollari.

Le password sono quindi le chiavi che proteggono i nostri account online, sia personali che lavorativi. Questo articolo esplorerà in dettaglio le migliori pratiche per la creazione e la gestione delle password, includendo l’utilizzo di gestori di credenziali, per imparare a creare ed utilizzare password robuste e sicure.

Indice dei contenuti

• • Errori comuni nella gestione delle Password
  • Tecniche di esfiltrazione delle Password
  • Creazione di Password sicure
  • Gestore password: alleato per la Sicurezza
  • Autenticazione a Due Fattori (2FA)
  • Consigli per proteggere le Password

Indice dei contenuti

• Errori comuni nella gestione delle Password
• Tecniche di esfiltrazione delle Password
• Creare Password Sicure 
• Autenticazione a due fattori (2FA)
• Gestore Password: alleato per la sicurezza
• Consigli per proteggere le Password

Errori Comuni nella Gestione delle Password

Nonostante l’importanza riconosciuta alla gestione delle password, molti utenti continuano a commettere errori che compromettono la sicurezza online. Ecco alcuni degli sbagli più comuni e come evitarli:

• Riutilizzo delle Password: riutilizzare la stessa password per più account è estremamente rischioso. Se un hacker riesce a scoprire una delle password, può potenzialmente accedere a tutti gli account con quella pw.
• Password Troppo Semplici: l’uso di pw semplici come “123456” o “password” è ancora troppo comune. Queste password sono facilmente indovinabili e possono essere compromesse in pochi millesimi di secondo.
• Non Utilizzare la 2FA: molti servizi online offrono l’autenticazione a due fattori, che è buona pratica utilizzare, perché fornisce un’ulteriore linea di difesa,.
• Non Aggiornare le Password: è buona pratica aggiornare regolarmente le password, soprattutto in caso di sospetta compromissione. I siti web o le applicazioni su cui abbiamo creato account possono essere vittima di attacchi ed esfiltrazione dati.

Per verificare se uno degli account che possediamo è stato compromesso e se le password sono finite nelle mani di cyber criminali, è possibile utilizzare i seguenti strumenti e siti web:

1. Have I Been Pwned (haveibeenpwned.com): consente di inserire indirizzo e-mail o numero di telefono, per verificare se è stato coinvolto in una violazione di dati. Se l’account è stato compromesso, il sito mostrerà quali servizi sono stati colpiti e quando.
2. Firefox Monitor (monitor.firefox.com): permette di controllare se l’indirizzo e-mail è stato esposto in una violazione di dati. L’iscrizione permette di ricevere notifiche future nel caso di nuove violazioni.
3. Google Password Checkup: il browser Google Chrome include uno strumento integrato che avvisa se una delle password salvate è stata esposta in un evento di violazione dati.
4. Breached Sites Lists: alcuni siti web pubblicano elenchi di dati esposti. Tuttavia, è essenziale fare attenzione al percorso per accedere a tali elenchi, poiché potrebbero essere ospitati su siti non sicuri.

Usare uno di questi strumenti aiuterà a capire se i propri dati sono stati compromessi, consentendo di agire rapidamente per proteggere gli account. Se scopri che una delle password è stata violata, è consigliabile cambiarla immediatamente e abilitare l’autenticazione a due fattori (2FA) su tutti gli account.

Tecniche di Esfiltrazione delle Password

L’esfiltrazione delle password è una pratica comune tra i cybercriminali che cercano di ottenere accesso non autorizzato a sistemi e dati sensibili. Negli ultimi anni, l’esfiltrazione delle password e le violazioni di dati sono aumentate in frequenza e gravità, utilizzando diverse tipologie di attacco:

• Phishing: utilizzano messaggi ingannevoli per convincere le vittime a fornire volontariamente le proprie credenziali di accesso. Le pagine di login false e i link malevoli sono strumenti comuni in questi attacchi. Secondo il report di APWG (Anti-Phishing Working Group) del 2022, gli attacchi di phishing diretti al furto di credenziali, sono aumentati del 48% rispetto al 2021.
• Keylogging: I keylogger sono software o dispositivi hardware che registrano ogni pressione dei tasti effettuata su una tastiera. Questi strumenti sono utilizzati per catturare le password mentre vengono digitate.
• Attacchi Man-in-the-Middle (MitM): un hacker intercetta la comunicazione tra due parti (ad esempio, tra un utente e un sito web) per rubare le credenziali di accesso durante il loro trasferimento.
• Brute Force e Attacchi a Dizionario: questi attacchi tentano di indovinare le password attraverso tentativi ripetuti e automatizzati, provando combinazioni comuni o tutte le possibili varianti di caratteri. Gli attacchi brute force sono diventati più sofisticati con l’utilizzo di botnet, con milioni di tentativi al minuto registrati su piattaforme di grandi dimensioni. La frequenza di questi attacchi è aumentata del 200% dal 2020 al 2023, secondo dati di Microsoft.
• Malware: malware come trojan e ransomware possono essere utilizzati per esfiltrare password memorizzate nei browser o nei gestori di password, oltre ad altri dati sensibili presenti nei sistemi infetti.
• Credential Stuffing: utilizza credenziali rubate in precedenti violazioni di dati per tentare di accedere a nuovi account, sfruttando il riutilizzo delle password da parte degli utenti. Secondo Akamai, nel 2022 sono stati registrati oltre 193 miliardi di tentativi di attacchi di credential stuffing, con un aumento significativo rispetto agli anni precedenti, dimostrando l’efficacia di questa tecnica basata su password riutilizzate.

Hive Systems Password Table – 2024 Square
https://creativecommons.org/licenses/by-sa/4.0/

Creazione di Password Sicure

Con l’aumento delle minacce online, come phishing, attacchi brute force e violazioni di dati, le password deboli possono facilmente mettere a rischio la sicurezza degli account. Per questo diventa essenziale saper creare password robuste per proteggere i propri dati. Nello specifico, creare password complesse e uniche per ogni account è una delle best practice per difendersi le minacce informatiche.

Caratteristiche di una Password Robusta

Per garantire che una password sia veramente sicura, dovrebbe avere le seguenti caratteristiche:

• Lunghezza: contenere almeno 12-16 caratteri. Più lunga è la password, più difficile sarà per gli hacker decifrarla.
• Complessità: utilizzare combinazioni di lettere maiuscole e minuscole, numeri e simboli. Questo aumenta la complessità e rende la password più difficile da indovinare.
• Unicità: ogni account dovrebbe avere una password unica. Riutilizzare le stesse password per più account è estremamente rischioso.
• Non Usare Informazioni Personali: evitare di utilizzare informazioni personali come nomi, date di nascita o parole comuni. Questi elementi sono facilmente reperibili e possono rendere la tua password vulnerabile.

Come Creare Password Sicure

Creare una password sicura può sembrare complicato, ma ci sono alcuni metodi che possono aiutare:

• Frasi casuali: scegli frasi casuali, anche facili da ricordare, sostituendo alcune lettere con numeri o simboli. Ad esempio, “MelaRossa2024!” può diventare “M3l@R0ss@2024!”.
• Acronimi: prendi una frase che ti è familiare e crea un acronimo sostituendo alcune lettere. Ad esempio, “VadoAlLavoroOgniGiorno” può diventare “V@L0g2024!”.
• Generatori di Password: permettono di creare combinazioni casuali di caratteri. Molti gestori di password includono già questa funzionalità.

Autenticazione a Due Fattori (2FA)

L’autenticazione a due fattori (2FA) è un altro strumento cruciale per proteggere gli account online. Anche se un hacker riesce a ottenere la password, non potrà accedere all’account senza il secondo fattore di autenticazione. La 2FA richiede infatti di fornire due tipi di informazioni per verificare l’identità dell’utente: la password ed un codice di verifica.

Esistono diversi tipi di codici di verifica, tra cui:

• SMS o E-mail: un codice di verifica viene inviato via SMS/e-mail. Sebbene sia il metodo più comune, è anche il meno sicuro a causa del rischio di intercettazioni.
• App di Autenticazione: applicazioni come Google Authenticator o Authy generano codici di verifica che cambiano ogni 30 secondi. Molto più sicure delle opzioni via SMS.
• Chiavi Fisiche di Sicurezza: dispositivi fisici, come YubiKey, che devono essere inseriti in una porta USB o collegati via Bluetooth. Offrono il massimo livello di sicurezza.

Gestore di Password: alleato per la Sicurezza

Un gestore di password, chiamato anche password manager, è uno strumento che aiuta a generare, archiviare e gestire password complesse in modo sicuro. Questi strumenti sono essenziali per chiunque voglia mantenere la sicurezza online senza dover ricordare decine di password diverse.

I gestori di password funzionano come una cassaforte digitale, permettendo di archiviare tutte le password in un database crittografato, protetto da una “password principale”. Per accedere all’account, bisognerà ricordare questa unica chiave, per poi avere accesso a tutte le altre.

Esistono diversi vantaggi nell’utilizzo di un gestore di password:

• Implementazione della Sicurezza: creazione di password uniche e complesse per ogni account, riducendo il rischio di violazioni.
• Comodità: non c’è necessità di ricordare tutte le credenziali, ma solo la password principale per accedere al gestore.
• Sincronizzazione: molti gestori di pw offrono la sincronizzazione tra dispositivi, permettendoti di accedere alle credenziali ovunque ci si trovi.
• Autenticazione a Due Fattori (2FA): alcuni gestori di password, integrano l’autenticazione a due fattori, aggiungendo un ulteriore livello di sicurezza.

Scegliere un Gestore di Password

Esistono molti gestori di password e la scelta può dipendere da esigenze specifiche. Alcuni dei più popolari sono:

• LastPass (lastpass.com): offre una versione gratuita con molte funzionalità, inclusa la sincronizzazione tra dispositivi. La versione premium aggiunge caratteristiche avanzate come l’accesso di emergenza.
• 1Password (1password.com): conosciuto per la sua interfaccia intuitiva e le forti funzionalità di sicurezza. Offre integrazioni con strumenti di autenticazione a due fattori.
• KeePassDroid: applicazione open-source, che consente di gestire e archiviare in modo sicuro le password utilizzando file crittografati. Ideale per chi cerca una soluzione di gestione delle password semplice e gratuita direttamente sul proprio dispositivo mobile (scaricabile da Google Play).
• Dashlane (dashlane.com): offre un’opzione gratuita limitata e una versione premium con funzionalità come VPN integrata e monitoraggio delle violazioni di sicurezza.
• Bitwarden (bitwarden.com): gestore di password open-source che offre una versione gratuita molto robusta, con opzioni di sincronizzazione e autenticazione a due fattori.

Consigli per Proteggere le Password

Oltre a creare password robuste e utilizzare gestori di password, ci sono altre pratiche che possono aiutare a proteggere le password e migliorare la sicurezza online.

Evita il Phishing: il phishing è una tecnica utilizzata dagli hacker per rubare le credenziali, spingendo l’utente ad inserire le proprie informazioni in un sito web falso, camuffato da legittimo. Gli attacchi di phishing possono avvenire tramite e-mail, messaggi di testo o persino social media. Ecco come difendersi:

• Verifica l’URL: prima di inserire le credenziali, controlla sempre l’URL del sito web. Assicurati che corrisponda esattamente al sito legittimo e che utilizzi una connessione sicura (https://);
• Non Cliccare su Link Sospetti: se ricevi e-mail o messaggi contenenti link, non cliccare. Sempre meglio recarsi sul sito ufficiale, inserendo manualmente l’URL nel browser;
• Attenzione ai Mittenti: verifica l’indirizzo e-mail del mittente; gli hacker spesso creano indirizzi simili a quelli legittimi, ma con lievi differenze.

Utilizza Connessioni Sicure: quando accedi agli account online, assicurati di farlo da connessioni sicure. Evita di inserire password su reti Wi-Fi pubbliche non protette, poiché possono essere facilmente intercettate. Se devi utilizzare una rete pubblica, considera l’uso di una VPN (Virtual Private Network) per crittografare la tua connessione.

Monitoraggio delle Violazioni di Sicurezza: molti gestori di password e servizi di sicurezza online offrono funzioni di monitoraggio delle violazioni. Questi strumenti ti avvisano se una delle tue password è stata trovata in un database di dati violati. Se ricevi una notifica, cambia immediatamente la password interessata e controlla gli account collegati per eventuali attività sospette.

Aggiornamento Software: assicurarsi che i dispositivi siano sempre aggiornati con le ultime patch di sicurezza. Le vulnerabilità nei sistemi operativi e nelle applicazioni possono essere sfruttate dagli hacker per ottenere accesso agli account. L’aggiornamento regolare riduce questo rischio.

Non Salvare le Password nei Browser: anche se molti browser offrono la possibilità di salvare le password, questo metodo non è il più sicuro. I browser non sempre crittografano le password memorizzate in modo adeguato, rendendole facilmente recuperabili da chiunque abbia accesso al dispositivo. I gestori di password dedicati, offrono un livello di sicurezza molto superiore.

Non Condividere le Password e tienile al sicuro: altro errore comune è condividere le proprie password con amici o colleghi. Anche se ti fidi della persona, non puoi controllare come verrà trattata la tua pw. Evita inoltre di scriverle su post-it o agende facilmente accessibili ad altri.

Educazione e Consapevolezza: uno degli aspetti più importanti della gestione delle password è l’educazione continua e la consapevolezza delle minacce emergenti. Il panorama della sicurezza informatica è in costante evoluzione, e mantenere aggiornate le conoscenze è fondamentale per proteggersi.

Formazione Continua: per aziende e organizzazioni, è essenziale fornire formazione regolare ai dipendenti sulla gestione delle password e sulle minacce informatiche. La formazione dovrebbe includere:

• Identificazione Minacce: come riconoscere tentativi di phishing, malware e altre forme di attacco;
• Pratiche di Sicurezza: importanza della 2FA, l’uso di gestori di password e come creare pw sicure;
• Risposta alle Violazioni: cosa fare in caso di sospetta compromissione di account/violazione dati.

Conclusioni

La gestione delle password è una componente essenziale della sicurezza informatica. Con la crescente sofisticazione delle minacce online, sta diventando più importante che mai adottare abitudini sicure per proteggere i propri dati. Creare password robuste, utilizzare gestori di password e implementare l’autenticazione a due fattori sono passi fondamentali per migliorare la sicurezza online. Non sottovalutare l’importanza di queste misure. Anche una sola password compromessa può avere conseguenze devastanti.