16 miliardi di password rubate, è la più grande violazione informatica di sempre: come proteggersi

Il titolo dell'articolo, purtroppo, è assolutamente corretto: ben 16 miliardi di password d'accesso sono in circolazione sul Web in quella che sembra essere a tutti gli effetti la più vasta esposizione di dati sensibili mai registrata fino a questo momento (superando la fuga di dati RockYou2024 dello scorso anno). L'entità dell'esposizione è senza precedenti, sia per volume che per impatto. Secondo il team di Cybernews, che ha condotto l'indagine, sono stati trovati almeno 30 archivi distinti, ognuno con milioni – e in alcuni casi miliardi – di record. Nessuno di questi (a parte uno) era mai stato documentato prima, il che suggerisce che si tratti di materiale “fresco” e mai passato attraverso i canali di analisi ufficiali.

Questi dataset non sono frutto di una singola violazione, ma sembrano rappresentare una nuova strategia sistematica di raccolta e diffusione di credenziali rubate. I ricercatori sottolineano che la frequenza con cui emergono nuovi insiemi di dati dimostra quanto sia ormai capillare e persistente la diffusione di infostealer, una categoria di malware progettata per sottrarre informazioni personali da dispositivi compromessi. Servizi online come Apple, Facebook, Google, GitHub, Telegram e, a quanto pare, perfino portali governativi non fanno eccezione: le informazioni contenute nei log rivelano accessi diretti a una moltitudine di piattaforme. Di fronte a questa realtà, è fondamentale adottare comportamenti digitali più consapevoli, come l'adozione delle passkey (quando possibile), il controllo dei dispositivi per individuare malware e l'attivazione di sistemi di sicurezza avanzate, come l'autenticazione a due fattori.

La gravità della circolazione di 16 miliardi di password

Non si tratta di una semplice fuga di dati isolata: i 16 miliardi di record recentemente scoperti includono informazioni provenienti da fonti differenti, ma con un elemento in comune: le password rubate sono tutte pronte per essere sfruttate. I ricercatori spiegano che i dataset analizzati derivano in buona parte da credential stuffing, da vecchie perdite riconfezionate e soprattutto da infostealer. Quest'ultimo termine indica software dannosi progettati per carpire credenziali e altri dati sensibili da computer infettati, raccogliendoli in strutture standardizzate, che includono URL, nome utente e password.

È proprio questa struttura coerente a rendere il materiale così pericoloso. A differenza di fughe caotiche o parziali, qui si tratta di elenchi completi, con accessi potenzialmente validi per milioni di account online. In alcuni casi, i file contenevano persino cookie di sessione e token di autenticazione: elementi che possono bypassare non solo i meccanismi di sicurezza tradizionali, come il classico login con password, ma anche i sistemi di autenticazione a più fattori. A questo proposito, Aras Nazarovas, uno dei ricercatori che ha scoperto il tutto, ha infatti spiegato:

Questi cookie possono spesso essere utilizzati per aggirare i metodi di 2FA [autenticazione a due fattori, NdR] e non tutti i servizi resettano questi cookie dopo aver cambiato la password dell'account. La cosa migliore in questo caso è cambiare le password, attivare il 2FA, se non è ancora abilitato, monitorare attentamente i propri account e contattare l'assistenza clienti se vengono rilevate attività sospette.

L'origine di questi dati, almeno per ora, resta in parte sconosciuta. I ricercatori non hanno potuto determinare con certezza chi controllasse gli archivi, in parte perché la loro esposizione pubblica è stata molto breve. In genere, si trattava di sistemi come Elasticsearch o archivi cloud mal configurati, accessibili senza protezioni. Secondo gli esperti, però, è certo che almeno una parte dei dati fosse in mano a gruppi cybercriminali, interessati a compilarli per poi rivenderli o sfruttarli direttamente.

E non parliamo di una minaccia teorica. La combinazione di dati aggiornati e strumenti automatizzati consente attacchi informatici su larga scala, tra cui: phishing mirato, furti d’identità, compromissioni aziendali o BEC (Business E-mail Compromise) e perfino attacchi tramite ransomware (programmi che bloccano i dispositivi chiedendo un riscatto per sbloccarli). Anche un tasso di successo dell'1-2% su un bacino di 16 miliardi può significare milioni di utenti realmente a rischio.

I servizi interessati

I dati trapelati coprono virtualmente ogni tipo di servizio. Dai social network alle piattaforme di messaggistica, dai servizi di cloud storage agli strumenti per sviluppatori. Alcuni set erano denominati con nomi generici come “login” o “credenziali”, altri lasciavano intuire la fonte o il malware che li aveva originati. Per esempio, un archivio da oltre 455 milioni di record era probabilmente annesso alla Federazione Russa, mentre un altro da 60 milioni portava il nome “Telegram”.

L'impatto potenziale è difficilmente quantificabile, anche per via dei dati duplicati: lo stesso account potrebbe comparire in più set, ma non c'è modo di misurare con precisione le sovrapposizioni. Il volume totale è indicativo di un fenomeno che ha ormai superato i limiti dei singoli attacchi, per trasformarsi in una vera e propria economia “sotterranea” della violazione digitale.

Dietro questa colossale raccolta di dati si nasconde con ogni probabilità un cambiamento nei comportamenti degli antagonisti del Web. Secondo il ricercatore già citato, Aras Nazarovas, il fatto che i dati circolino in archivi centralizzati anziché su gruppi Telegram — un tempo canali preferiti per il commercio illecito — suggerisce che si stia consolidando una nuova modalità di gestione delle informazioni rubate, più efficiente e industrializzata.

Come proteggervi ora

Ora che vi abbiamo spiegato, per sommi capi, cos'è accaduto veniamo a noi: cosa fare per proteggere i propri account da simili violazioni? Le raccomandazioni sono sempre le stesse: utilizzate i generatori di password inclusi nei password manager per creare credenziali uniche e complesse, aggiornatele periodicamente, attivate l'autenticazione a due fattori dove possibile e preferite strumenti di autenticazione più sicuri delle semplici SMS, come le app di autenticazione o le passkey. Oltre a questo, monitorate i vostri dispositivi con software affidabili, per assicurarvi di non ospitare infostealer inconsapevolmente. E ricordatevi sempre: quando siete online, tenete gli occhi sempre ben aperti!

non perderti questo articolo

Rockyou2024, pubblicate online quasi 10 miliardi di password: cosa succede e come difendersi