Le password sono state un pilastro della sicurezza sin da quando il linguaggio umano si è evoluto. Questo segreto condiviso può essere usato per aprire sia porte fisiche che digitali. Ma come ogni segreto, se viene rivelato alla persona sbagliata, può essere usato per scopi malvagi.
Le password offrono ai criminali informatici un modo per aggirare il sistema di protezione. Se una password è poco sicura, viene condivisa o è stata rubata tramite phishing, quella porta è spalancata. Gestire le password aiuta a ridurre i rischi all’interno di un’organizzazione.
Ecco una panoramica su alcuni dei rischi legati all’uso delle password e alcuni consigli su come gestirle.
Il problema delle password
Le password sono ancora in uso perché gli utenti le capiscono; sono comprese dagli sviluppatori di siti web e app e offrono un livello base di sicurezza. Per questi motivi, le password continueranno a esistere, anche con iniziative come il sistema senza password FIDO.
Una password sicura è la credenziale di accesso più fondamentale, ma le password sono ben lungi dall’essere una misura di sicurezza efficace. Proprio per via delle porte che una password può aprire, questa credenziale è diventata un bersaglio privilegiato degli attacchi informatici. Il Rapporto sulle indagini relative alle violazioni dei dati (DBIR) del 2022 ha identificato il furto di credenziali come uno dei quattro metodi principali utilizzati per violare i dati.
Il Rapporto annuale sull’esposizione delle identità del 2022 ha messo in luce alcune statistiche sbalorditive sulle password:
● Nel 2021 gli hacker hanno sfruttato 1,7 miliardi di credenziali (combinazioni di indirizzo e-mail e password o nome utente e password)
● Un anno dopo, il 70% degli utenti continuava a usare password compromesse
● La password più usata più di tutte in chiaro (cioè non criptata) era “password”
● Il 60% degli utenti riutilizza le password. Da un sondaggio di Google è emerso che il 52% riutilizza le password su più account.
● Solo il 20% degli utenti usa un gestore di password
I costi legati alla divulgazione delle password, al furto e agli accessi non autorizzati si accumulano. Il rapporto del Ponemon Institute del 2022 sul “Costo delle minacce interne” ha rivelato che:
● Il costo dei furti di credenziali è aumentato del 65%, passando da 2,79 milioni di dollari nel 2020 a 4,6 milioni di dollari nel 2021/2022
● Per contenere una minaccia interna ci vogliono circa 85 giorni
● Gli incidenti che hanno richiesto più di 90 giorni per essere risolti sono costati, in media, 17,19 milioni di dollari
Come le password finiscono nelle mani dei cybercriminali
Tra i modi più comuni in cui le password vengono rubate o compromesse ci sono:
Infezione da malware
I malware progettati per rubare dati inviano tutte le combinazioni di password, nome utente e indirizzo e-mail inserite dall’utente ai cybercriminali che controllano il malware.
Da un rapporto di SpyCloud è emerso che nel 2021 il malware “RedLine Stealer” è stato ampiamente utilizzato per rubare credenziali e altri dati agli utenti di Windows. Il malware era in vendita su un sito del dark web al prezzo di 800 dollari oppure tramite un abbonamento “malware-as-a-service” da 200 dollari al mese.
Violazione dei dati
Le violazioni dei dati offrono ai criminali informatici un modo per accedere a password rubate e alle coppie di nomi utente o indirizzi e-mail, cioè alle credenziali di accesso. Ad esempio, la violazione dei dati “Collection 1-5” del 2019 ha reso pubblici 2,2 miliardi di password e indirizzi e-mail.
Le violazioni dei dati avvengono in genere tramite un accesso non autorizzato a un database, un errore di configurazione della sicurezza che rende il database vulnerabile, la divulgazione accidentale dovuta a un errore di invio delle e-mail o un attacco hacker intenzionale. Nel ciclo del crimine informatico, un database compromesso finisce poi per divulgare altre credenziali di accesso, che vengono usate per sferrare ulteriori attacchi.
Phishing
Un metodo molto diffuso per rubare le password è il phishing. Infatti, il DBIR 2022 ha indicato il phishing come uno dei quattro principali metodi di violazione dei dati utilizzati per ottenere l’accesso alle credenziali di accesso. Lo spear-phishing rappresenta un problema particolare per gli amministratori di sistema e gli utenti con privilegi, presi di mira proprio per le loro credenziali di accesso privilegiate.
I fornitori terzi sono spesso bersaglio degli hacker negli attacchi legati alle password. Ad esempio, nel caso dell’attacco ransomware alla Colonial Pipeline del 2021, una singola password rubata a un ex dipendente è stata collegata all’attacco che ha causato l’interruzione temporanea di metà delle forniture di carburante degli Stati Uniti.
Esposizione accidentale e minacce interne
Ai dipendenti piace condividere le password con i colleghi e riutilizzarle. Da un recente sondaggio è emerso che quasi il 42% dei dipendenti condivide le password con i colleghi. Lo stesso studio ha rilevato che 1 dipendente su 4 aveva ancora accesso ai vecchi account anche dopo aver lasciato l’azienda.
La divulgazione accidentale delle password o gli accessi non autorizzati sono una delle cause principali degli attacchi informatici e delle violazioni dei dati; secondo il DBIR 2022, l’82% degli attacchi coinvolge un essere umano.
Cinque consigli veloci per gestire le password
Ecco cinque consigli per gestire le password e ridurre i rischi:
Configurare e applicare le politiche relative alle password
Le politiche sulle password sono il primo passo per ridurre i rischi legati al loro utilizzo. Queste politiche comprendono tutto ciò che riguarda la gestione delle password e la loro sicurezza. Ad esempio, una politica dovrebbe prevedere la conservazione sicura delle password e la frequenza con cui devono essere cambiate.
Le politiche sulle password dovrebbero inoltre specificare chiaramente come i dipendenti devono creare e gestire le password. Queste politiche dovrebbero essere comunicate ai dipendenti e la loro gestione dovrebbe essere automatizzata per tutto il loro ciclo di vita, in modo da garantire che vengano accettate e comprese da tutta l’azienda.
Usa un gestore di password
I gestori di password come LastPass e i generatori di password riducono lo stress legato alle password e, di conseguenza, possono aiutarti a evitare di riutilizzare o condividere le password. Se usi un gestore di password, tecnicamente devi ricordarti solo un set di credenziali: la password principale per accedere al tuo gestore di password.
Una volta effettuato l’accesso al gestore di password con la tua password principale, ci pensa lui a tutto il resto: memorizza, genera, sincronizza e aggiorna le password. La tua password principale serve a crittografare le password salvate nel tuo archivio.
Ma i gestori di password sono ancora poco utilizzati nelle aziende. Ce ne sono tantissimi, ma i servizi basati sul cloud possono essere più facili da implementare e gestire. Cerca un gestore di password che funzioni su diversi sistemi operativi e che protegga anche altri tipi di dati, oltre alle password.
Usa un secondo fattore di autenticazione (2FA/MFA)
L’uso di un secondo fattore, come un codice di autenticazione inviato sul cellulare, è un modo utile per aggiungere un ulteriore livello di sicurezza all’accesso a un’applicazione. Tuttavia, non dovresti fare affidamento sull’autenticazione a due fattori (2FA) per garantire un controllo degli accessi privo di rischi al 100%.
I criminali informatici stanno già escogitando modi per aggirare l’autenticazione a due fattori. Se puoi, attiva l’autenticazione a due fattori (2FA), ma affianca questa misura ai nostri due consigli seguenti per ridurre i rischi legati alle password:
Forma i dipendenti sulle buone pratiche relative alle password
Le politiche sulle password dovrebbero rispecchiare gli standard del settore della sicurezza informatica per la creazione, l’uso e la gestione delle password. Però, per far rispettare questa politica, è necessario che i dipendenti capiscano perché è fondamentale usare password sicure.
I programmi di formazione sulla sicurezza informatica di solito includono moduli su come creare password sicure e su come proteggerle.
Usa le simulazioni di phishing per ridurre i furti di password
Il phishing è uno dei metodi principali per rubare password e altre credenziali. Formando i dipendenti su come funziona il phishing e su quali sono i segnali che indicano che un messaggio è un tentativo di phishing, un’azienda può contribuire a prevenire il furto di credenziali tramite questa tecnica.
Le piattaforme di simulazione di phishing offrono un modo centralizzato e personalizzabile per inviare messaggi di phishing simulati al personale. Una piattaforma avanzata di simulazione di phishing ti permetterà inoltre di personalizzare i messaggi in modo che rispecchino i diversi ruoli all’interno della tua azienda.
Probabilmente le aziende continueranno a usare le password ancora per un po’, aumentando così il rischio di attacchi informatici. Tuttavia, mettendo in pratica i cinque consigli che ti abbiamo illustrato qui, puoi ridurre i rischi legati all’uso delle password da parte dei tuoi dipendenti. Questi consigli aiutano a prevenire le violazioni dei dati e le infezioni da ransomware, oltre ad aiutare la tua azienda a rispettare le normative sulla protezione dei dati.