5 consigli per mitigare il rischio di esposizione delle credenziali

L’esposizione delle credenziali è una delle principali minacce per le aziende. Vediamo 5 consigli pratici per ridurre il rischio che username e password finiscano nelle mani sbagliate.

Ogni anno compaiono online miliardi di nuovi account, e con essi cresce il rischio di esposizione delle credenziali. Username e password rubati vengono usati negli attacchi di credential cracking, esponendo le organizzazioni a data breach e violazioni. Che sia su marketplace del dark web, in archivi condivisi privatamente o in chat riservate, le credenziali esfiltrate viaggiano in rete, spesso senza che i legittimi proprietari lo sappiano. Come gestirle correttamente per limitarne l’esposizione? Ecco cinque consigli pratici.

1. Cosa sono le credenziali
2. 1. Verificare se le credenziali sono già esposte
3. 2. Proteggere gli accessi con il CAPTCHA
4. 3. Attivare l’autenticazione a più fattori
5. 4. Curare la password hygiene
6. 5. Monitorare il dark web

Cosa sono le credenziali

Una credenziale di accesso è la combinazione di ID utente e password che consente di accedere all’area personale di un sito o di un’applicazione. Generata dall’utente in fase di registrazione, serve a verificare l’identità di chi accede al sistema. In base a come viene generata e protetta, se ne distinguono due tipologie:

1. Verificare se le credenziali sono già esposte

Il primo passo è controllare se e quali credenziali siano già state esposte online. Per farlo esistono strumenti noti come data breach search engine: motori di ricerca dotati di enormi database di e-mail e password compromesse, che permettono di cercare indirizzi e-mail, username, password e altri dati personali all’interno di archivi rubati circolanti sul web e sul dark web. Il più noto è Have I Been Pwned, che consente anche di registrarsi per ricevere una notifica in caso di future violazioni.

Curiosità
Have I Been Pwned è nato nel 2013 dal ricercatore Troy Hunt come progetto personale.
Oggi raccoglie le informazioni di oltre 14 miliardi di account compromessi ed è diventato uno standard di fatto, usato anche da governi e grandi aziende per verificare le proprie esposizioni.

Questa verifica preliminare dà un quadro del livello di rischio e indica quali credenziali vanno cambiate. Sul fronte aziendale, i team di sicurezza dovrebbero partire da qui per controllare su quali servizi sono impiegate le credenziali compromesse e se le stesse password sono state riutilizzate su più account — educando poi il personale a creare password forti e diverse per ogni profilo, con l’aiuto di un password manager.

2. Proteggere gli accessi con il CAPTCHA

Gli attacchi ai sistemi di autenticazione riutilizzano password compromesse servendosi di bot e strumenti automatizzati. In questi casi, un CAPTCHA aiuta a mitigarne l’azione: è un test che sbarra la strada ai bot anche quando dispongono di e-mail e password corrette.

Curiosità
L’acronimo CAPTCHA sta per “Completely Automated Public Turing test to tell Computers and Humans Apart” — cioè un test di Turing al contrario. Nel classico test di Turing è una macchina a cercare di farsi passare per umana; nel CAPTCHA è una macchina a giudicare se dall’altra parte c’è un umano o un’altra macchina.

La versione classica chiedeva di riscrivere sequenze di caratteri distorti, ma già nel 2014 si era dimostrato che l’IA poteva decifrarli con altissima precisione. Da qui l’evoluzione verso il reCAPTCHA: prima la casella “Non sono un robot”, poi i test con immagini, fino alla versione che verifica l’utente analizzando il suo comportamento sulla pagina in background, senza interromperne l’attività.

3. Attivare l’autenticazione a più fattori

L’autenticazione a più fattori è una delle difese più efficaci: rende quasi inutile il furto della sola combinazione e-mail e password. Anche se un attaccante ruba la password, senza il secondo fattore — un OTP da app come Google o Microsoft Authenticator, un codice SMS, un token fisico o un dato biometrico — non riesce ad accedere.

Va detto con onestà che non è una soluzione perfetta: un attacco di phishing sofisticato può in alcuni casi aggirarla, e chi riutilizza la stessa password su più siti resta esposto al credential stuffing. Per questo l’MFA va sempre affiancata a password robuste e uniche, non considerata un sostituto di esse.

4. Curare la password hygiene

Uno dei principali fattori di esposizione è la cattiva gestione delle password. Gli errori più comuni sono usare password semplici e prevedibili, riutilizzare la stessa password su più account, seguire schemi scontati (maiuscola all’inizio, numero e simbolo in fondo), salvarle in chiaro su documenti o post-it, o non cambiarle mai quando serve.

Sulle buone pratiche, però, vale la pena aggiornare un’idea diffusa: a lungo si è insistito su complessità e cambi frequenti, ma le linee guida più recenti hanno ribaltato la priorità. Conta più la lunghezza della complessità forzata: una passphrase di più parole casuali — come “MangioIGelatiInInverno!” — è al tempo stesso più robusta e più facile da ricordare di una breve password piena di simboli, e non compare in nessun dizionario. Fondamentale è l’unicità: una password diversa per ogni servizio, così che una violazione resti confinata. E poiché nessuno ricorda decine di password uniche, lo strumento che rende tutto praticabile è il password manager, che le genera robuste e le custodisce cifrate. I cambi vanno fatti quando c’è un motivo — un sospetto di compromissione — non a scadenza fissa, che spinge solo a varianti prevedibili.

5. Monitorare il dark web

L’ultima difesa è proattiva: il monitoraggio del dark web, la porzione di Internet accessibile solo tramite software specifici come Tor, dove circolano gli archivi di credenziali rubate. Mentre i data breach search engine dicono se una credenziale è *già* emersa, il monitoraggio continuo sorveglia forum e marketplace clandestini per intercettare le credenziali aziendali *nel momento in cui* vengono messe in vendita, così da poterle invalidare prima che vengano sfruttate.

Non è un’attività da improvvisare in proprio: accedere direttamente a quei canali è rischioso e non alla portata di un utente comune. Per questo le aziende si affidano a servizi professionali di threat intelligence specializzati nel monitoraggio, spesso in collaborazione con le autorità competenti come la Polizia Postale e l’Agenzia per la Cybersicurezza Nazionale. È il modo corretto e sicuro di presidiare quel fronte.

In conclusione

La maggior parte dei data breach più gravi della storia è riconducibile al furto e alla successiva esposizione di credenziali, e il fenomeno è in crescita costante. Eppure la consapevolezza resta limitata. I cinque accorgimenti visti — verificare l’esposizione, proteggere gli accessi, attivare l’MFA, curare la password hygiene e monitorare il dark web — riducono drasticamente il rischio, ma hanno un denominatore comune: le persone. È dalla loro consapevolezza che parte, o si ferma, la maggior parte degli attacchi.