Il 9 ottobre chi visitava l’Internet Archive, la biblioteca digitale non profit che custodisce la Wayback Machine, si è trovato davanti un pop-up. Annunciava che il sito era stato violato e che i dati degli utenti sarebbero presto comparsi su Have I Been Pwned, il servizio che permette di verificare se il proprio indirizzo è finito in una violazione. Poche ore dopo il fondatore, Brewster Kahle, ha confermato. Nello stesso momento il sito è stato colpito da un attacco DDoS ed è andato offline.
Il database sottratto contiene le informazioni degli utenti registrati: indirizzi email, nomi utente, date di modifica della password e password cifrate con bcrypt. Gli indirizzi unici sono circa 31 milioni. Il dato più recente risale al 28 settembre, probabilmente il giorno del furto. Il gestore di Have I Been Pwned aveva ricevuto il file a fine settembre, ne ha verificato l’autenticità con alcuni utenti e ha avvisato l’organizzazione il 6 ottobre, prima di renderlo ricercabile il 9.
Due attacchi, forse non collegati
Il DDoS è stato rivendicato da un gruppo filopalestinese, che però non ha rivendicato il furto dei dati, e non è chiaro se le due cose siano collegate. Il pop-up è stato inserito tramite una libreria JavaScript usata dal sito. Come gli attaccanti siano entrati, l’organizzazione lo sta ancora ricostruendo.
Bcrypt è un algoritmo pensato per rendere lento e costoso indovinare le password. Quelle lunghe e uniche restano difficili da recuperare; quelle brevi o comuni cadono con un attacco a dizionario.
Probabilmente non ti saresti mai preoccupato della sicurezza del tuo account su una biblioteca online. È proprio per questo che conviene parlarne. Anche i servizi che consideri innocui conservano la tua email e una password, e se quella password l’hai usata anche altrove, il furto diventa una chiave per altri account.
Se hai un account sull’Internet Archive, cambia la password appena il sito torna disponibile. Se l’hai riutilizzata, cambiala ovunque, e da oggi affidati a un gestore di password per averne una diversa per ogni sito. Cerca il tuo indirizzo su Have I Been Pwned e attiva l’autenticazione a due fattori dove puoi. E se gestisci un sito, controlla quali librerie JavaScript carichi da terze parti e quali credenziali di sviluppo restano nei repository.
