Attacchi alle password: le principali tipologie

Una delle principali attività di hacking è la violazione delle password. Ottenere l’accesso ad account e servizi consente di impossessarsi delle autorizzazioni necessarie a portare avanti attività illecite molto redditizie, che vanno dalla vendita delle credenziali violate alla compromissione di interi sistemi. Non stupisce, quindi, che si siano sviluppate numerose tipologie di attacco alle password, molto diverse tra loro.

Queste tecniche differiscono essenzialmente per l’approccio: si va dall’uso della “forza bruta” fino all’impiego di malware, passando per l’intercettazione delle comunicazioni private. In questa guida le vediamo una per una, con le azioni concrete per prevenirle.

1. Le principali tipologie di attacco alle password
2. Attacchi basati su malware
3. Attacchi tramite phishing e vishing
4. Attacchi basati sull’intercettazione delle comunicazioni
5. Come prevenire gli attacchi alle password

Le principali tipologie di attacco alle password

Le tecniche di violazione delle password sono molteplici e variano in base alle capacità tecniche dell’attaccante e al livello di sicurezza dei servizi presi di mira. Le più frequenti sono tutte finalizzate al password cracking, e vale la pena conoscerne l’evoluzione. Un primo grande gruppo è accomunato dal tentativo di indovinare la password giusta — a volte tramite processi automatizzati, altre sfruttando banche dati di credenziali già trafugate — e in larga parte deriva dall’attacco brute force, perfezionandone le dinamiche.

Attacco brute force

Il brute force è un attacco ancora molto utilizzato, soprattutto contro password deboli e facilmente indovinabili. L’attaccante impiega software che, dopo aver provato le password più frequenti e banali, generano stringhe casuali finché non trovano la combinazione giusta. Il metodo funziona con le password banali ma richiede moltissimi tentativi, ed è per questo che le misure anti-bot moderne rappresentano oggi un ostacolo concreto. Nonostante ciò, i dati mostrano che il brute force resta ancora redditizio per i criminali.

Attacco a dizionario

Nell’attacco a dizionario il concetto è sempre quello di indovinare la password dopo vari tentativi, ma con una differenza rispetto al brute force: le password provate non sono casuali, bensì recuperate da database di credenziali già esfiltrate. Le liste — i “dizionari” — si adattano facilmente ai requisiti di complessità del servizio bersaglio, riempiendosi di password entro una certa lunghezza e con determinati caratteri. Chi usa una password debole ha alte probabilità che sia simile a una già trafugata, e quindi molto vulnerabile a questo attacco.

Credential stuffing

Il credential stuffing entra in gioco dopo una violazione andata a buon fine: le credenziali rubate — di solito coppie e-mail e password — vengono provate su una moltitudine di altri servizi. La sua efficacia si regge su una sola, diffusissima cattiva abitudine: il riciclo della stessa password su più account. È un attacco particolarmente insidioso perché non subisce l’azione difensiva dei sistemi di login: se la combinazione è giusta, l’accesso avviene al primo tentativo. Molte di queste credenziali arrivano dalle combolist alimentate dai malware infostealer.

Password spraying

Se l’attaccante dispone di un ampio elenco di nomi utente, può ricorrere al password spraying: concettualmente l’inverso del brute force. Invece di provare molte password su un solo account, prova una sola password comune su moltissimi account diversi. Il vantaggio per l’attaccante è che, distribuendo i tentativi su molti identificativi con un intervallo di tempo tra l’uno e l’altro, evita i sistemi di blocco che scatterebbero contro tentativi ripetuti sullo stesso account.

Attacco rainbow table

Le password conservate nei database dei servizi sono, auspicabilmente, protette tramite hashing: trasformate cioè in stringhe illeggibili chiamate hash. Il problema è che, senza precauzioni aggiuntive, a uno stesso valore di ingresso una funzione di hash fa sempre corrispondere lo stesso valore in uscita. Questo consente a un attaccante di costruire enormi tabelle precalcolate — le rainbow table — che associano le stringhe in chiaro alle rispettive versioni cifrate.

In un rainbow table attack, l’attaccante in possesso di un archivio di password cifrate confronta ciascun hash con quelli presenti nella tabella, finché non trova una corrispondenza — momento in cui risale alla password in chiaro. È un processo interamente automatizzato, dato che le tabelle possono raggiungere dimensioni nell’ordine dei gigabyte. È anche il motivo per cui, lato difesa, l’hashing va sempre accompagnato dal “salt”, che rende queste tabelle inutilizzabili.

Attacchi basati su malware

Salendo di livello, un attaccante può servirsi di software malevolo per sottrarre le credenziali. Non ci interessa qui il modo in cui il malware viene introdotto nel dispositivo, quanto gli effetti che produce una volta attivo.

Keylogger

L’esempio più comune è il keylogger, una categoria di spyware che intercetta ciò che viene digitato sulla tastiera e lo trasmette all’aggressore. L’utente viene ingannato e installa inavvertitamente il malware, spesso nascosto in pacchetti apparentemente legittimi; una volta attivo, il keylogger cattura tutto ciò che viene digitato, comprese le credenziali. Non è detto che un antivirus lo individui, perché ne vengono sviluppati di nuovi ogni giorno, progettati per eludere il rilevamento.

Una dimostrazione chiara del pericolo si è avuta nel caso LastPass, a cavallo tra 2022 e 2023: un dipendente con elevati privilegi installò inavvertitamente un keylogger sul proprio laptop personale, consegnando agli attaccanti credenziali e dettagli operativi sensibili. Ne risultò una grave compromissione, perché gli aggressori poterono muoversi con privilegi elevati all’interno dei sistemi. È l’esempio perfetto di come una singola macchina compromessa possa aprire la porta a un’intera organizzazione.

Attacchi tramite phishing e vishing

Il phishing, con tutte le sue declinazioni, resta una delle tecniche più diffuse per rubare credenziali. Si verifica quando un attaccante, spacciandosi per un ente legittimo, invia una comunicazione fittizia che induce la vittima a consegnare le proprie credenziali. Nel phishing tradizionale il veicolo è un’e-mail apparentemente innocua che invita a “sbloccare” un account inserendo le credenziali tramite un link — un collegamento fittizio che conduce a una pagina fraudolenta simile all’originale, dalla quale l’attaccante raccoglie i dati inseriti. In alternativa, il link o l’allegato possono servire a installare malware.

Quando l’attacco è mirato a una persona specifica si parla di spear phishing. E il fenomeno non si limita alle e-mail: le campagne di smishing usano gli SMS fingendosi operatori telefonici o banche, mentre nel vishing gli attaccanti contattano le vittime con telefonate. Cambia il mezzo, non la sostanza: l’obiettivo finale è sempre ottenere le credenziali.

Attacchi basati sull’intercettazione delle comunicazioni

L’ultimo approccio riguarda l’intercettazione dei dati scambiati tra due host. Quando un utente interagisce con un server aziendale, trasmette anche i dati necessari all’accesso. In un attacco Man in the Middle, l’attaccante si inserisce nel percorso di rete tra i due host, riceve i messaggi dell’utente, li fa propri e li inoltra al legittimo destinatario, trafugando nel passaggio anche le credenziali di accesso.

Di solito questi attacchi sfruttano vulnerabilità nelle reti di accesso, come le reti Wi-Fi non sicure, ma può verificarsi anche l’eventualità di un SSL hijacking. È il motivo per cui la protezione delle connessioni — soprattutto su reti pubbliche — è parte integrante della difesa delle credenziali.

Come prevenire gli attacchi alle password

Il ventaglio di opzioni a disposizione degli attaccanti è ampio, ma le difese che li neutralizzano sono note e consolidate. Seguendo alcune buone norme si garantisce un livello di sicurezza ragionevole ai propri servizi.

Usare un password manager. Per resistere agli attacchi le password devono essere lunghe, complesse e uniche, il che le rende impossibili da ricordare tutte. Il password manager risolve il problema: le genera robuste e uniche per ogni servizio, le conserva cifrate e le compila automaticamente. Esistono anche soluzioni pensate per l’ambito enterprise, capaci di gestire credenziali con privilegi, chiavi SSH e informazioni sensibili, generando e ruotando le password in modo automatico.

Costruire password lunghe più che complicate. A lungo si è insistito su numeri e caratteri speciali, ma le linee guida più recenti hanno ribaltato la priorità: conta più la lunghezza della complessità forzata. Una passphrase di più parole casuali è al tempo stesso più robusta e più facile da ricordare di una breve password piena di simboli — e soprattutto sfugge agli attacchi a dizionario, perché non corrisponde a nessuna stringa già nota. Fondamentale è poi l’unicità: una password diversa per ogni servizio è ciò che disinnesca il credential stuffing. Le regole pratiche le abbiamo raccolte nelle 10 regole per costruire password forti.

Attivare l’autenticazione a più fattori. L’autenticazione a più fattori aggiunge uno o più livelli di sicurezza oltre alla password: un codice temporaneo, un dato biometrico, una chiave fisica. Anche una password indovinata o rubata, da sola, non basta più ad accedere. È oggi la singola misura più efficace contro la maggior parte degli attacchi visti in questa guida, e andrebbe attivata su tutti gli account critici.

Sul fronte dei sistemi, infine, contano i blocchi sui tentativi ripetuti, il monitoraggio dei login anomali e — per chi eroga servizi — l’hashing robusto con salt, che rende gli attacchi offline economicamente insostenibili.

In conclusione

Il cracking delle password è un’attività centrale per chi vuole impossessarsi dei dati e dei privilegi di un servizio: una volta ottenuti, l’attaccante può sfruttare ulteriori vulnerabilità e lanciare nuove campagne. Conoscere tutte le tipologie di attacco — dal brute force al phishing, dai keylogger al Man in the Middle — è il primo passo per costruire difese efficaci. E la buona notizia è che le contromisure esistono, sono accessibili e, applicate insieme, trasformano la maggior parte di questi attacchi in tentativi destinati a fallire.