In questi giorni la notizia ha fatto il giro del mondo: 16 miliardi di credenziali, comprese quelle di Apple, Google e Facebook, finite online. Il numero è reale. Il modo in cui è stato raccontato, molto meno.
I ricercatori di Cybernews hanno spiegato di aver individuato, nel corso dell’anno, 30 archivi rimasti esposti su Internet per poco tempo, in database e sistemi di archiviazione cloud configurati male. Ogni archivio conteneva da decine di milioni a oltre 3,5 miliardi di record, per un totale di circa 16 miliardi. Ogni record è semplice: l’indirizzo di un sito, un nome utente o un’email, una password.
Apple, Google e Facebook non sono state violate. I loro indirizzi compaiono perché sono tra i servizi più usati al mondo, quindi tra quelli di cui più spesso viene rubata una password. Non si tratta nemmeno di 16 miliardi di persone o di account diversi, dato che gli archivi si sovrappongono e sono pieni di duplicati. Chi li abbia raccolti non si sa, e una parte dei dati potrebbe venire da violazioni vecchie e già note.
La fabbrica delle password rubate
Il dato interessante, quello che si è perso nei titoli, è la provenienza. Secondo i ricercatori gran parte di quei record viene dagli infostealer, i malware che copiano le password salvate nei browser dei computer infetti. Non è una singola violazione, ma il prodotto di un’industria: le credenziali rubate si accumulano in enormi raccolte, vengono rivendute e usate per attacchi automatici che provano le stesse combinazioni su migliaia di siti. Se usi la stessa password in dieci posti, basta che uno solo di quei computer, o di quei siti, cada.
Il panico non serve, ma una revisione sì. Cambia le password che riutilizzi su più siti e quelle degli account più importanti, a cominciare dall’email, da cui si recuperano tutte le altre. Affidati a un gestore di password per averne una diversa per ogni servizio. Attiva l’autenticazione a due fattori e, dove ci sono, le passkey, che non si possono rubare come una password.
Puoi controllare se il tuo indirizzo compare nei servizi pubblici di verifica delle violazioni. E se sospetti un malware sul computer, puliscilo prima di cambiare le password. Altrimenti consegnerai anche quelle nuove.
