Password compromessa: cosa significa l’avviso e cosa fare

Stavate usando il telefono come ogni giorno, e a un certo punto è comparso un avviso: “Questa password è comparsa in una violazione di dati” oppure “Password compromessa”. Un messaggio che arriva all’improvviso, spesso senza che sia successo nulla di evidente, e che genera una domanda immediata: cosa significa davvero, e cosa devo fare adesso?

È un avviso che iPhone, Android e i principali browser mostrano sempre più spesso, e che spaventa proprio perché sembra annunciare un attacco in corso. La buona notizia è che, nella maggior parte dei casi, non significa che qualcuno sia entrato nei vostri account in questo momento. In questo articolo vediamo cosa vuol dire quell’alert, perché compare, quanto è grave e quali sono i passi concreti da compiere per mettere in sicurezza i vostri account.

1. Cosa significa “password compromessa”
2. Perché compare l’avviso
3. Quanto è grave davvero
4. Cosa fare subito: i passi concreti
5. Attenzione: non tutti gli avvisi sono veri
6. Come evitare che succeda di nuovo

Cosa significa “password compromessa”

Quando iPhone, Android o un browser come Chrome segnalano una password compromessa, non stanno dicendo che il vostro dispositivo è stato violato o che un hacker è dentro il vostro account. Stanno dicendo una cosa più precisa: quella specifica password è comparsa in un elenco di credenziali rubate, finite online a seguito della violazione dei dati di qualche servizio.

Il meccanismo è questo. Periodicamente, i sistemi di vari servizi online vengono violati e gli archivi di email e password che custodivano finiscono pubblicati o venduti in rete. Apple, Google e gli altri produttori confrontano automaticamente le password che avete salvato sul dispositivo con questi enormi database di credenziali trapelate. Se trovano una corrispondenza, vi avvisano. In pratica, il telefono vi sta dicendo: “questa password è nota ai criminali, non è più un segreto”.

È importante capire questa distinzione, perché cambia il livello di allarme. Non significa che siate stati hackerati ora; significa che una delle vostre password non è più sicura, perché circola tra i dati a disposizione di chi conduce attacchi informatici. Il rischio non è teorico, ma non è nemmeno un’emergenza da panico: è un invito ad agire con tempestività, non nel terrore.

Perché compare l’avviso

La causa all’origine dell’avviso è quasi sempre una violazione di dati avvenuta presso un servizio a cui siete iscritti, e non sul vostro dispositivo. Un sito di e-commerce, un forum, un’app, un social network: uno qualunque dei servizi dove avete creato un account può subire un attacco che espone gli archivi degli utenti. Le vostre credenziali finiscono così in un elenco che, prima o poi, viene confrontato dai sistemi di sicurezza del telefono.

Esiste poi un fattore che amplifica enormemente il problema: il riutilizzo della stessa password su più servizi. Se usate la medesima password per la posta, per i social e per lo shopping online, basta che uno solo di quei servizi venga violato perché quella password diventi una chiave utilizzabile su tutti gli altri. È esattamente ciò che fanno gli attaccanti con una tecnica chiamata credential stuffing: prendono le coppie email-password trapelate da un servizio e le provano automaticamente su centinaia di altri, contando proprio sul fatto che molte persone riutilizzano le stesse credenziali.

Ecco perché l’avviso, anche se riferito a una singola password, va preso sul serio: quella password potrebbe essere la stessa che protegge account ben più importanti di quello da cui è trapelata.

Quanto è grave davvero

La gravità dipende da due fattori: dove avete usato quella password e se l’avete riutilizzata altrove. Se la password segnalata proteggeva un account secondario e poco importante, e non l’avete mai usata per nient’altro, il rischio concreto è contenuto. Se invece quella stessa password apre la vostra casella di posta principale, l’account bancario o i social, allora la situazione richiede un intervento immediato.

La casella di posta merita un’attenzione speciale. L’email è spesso la chiave di volta di tutta la vostra identità digitale: attraverso il recupero password, chi controlla la vostra email può reimpostare le credenziali di quasi tutti gli altri vostri account. Per questo, se l’avviso riguarda la password della posta elettronica, va trattato come la priorità assoluta.

In ogni caso, il principio da tenere a mente è semplice: una password che compare in una violazione va considerata bruciata. Non importa quanto fosse complessa o quanto tempo l’abbiate usata senza problemi: dal momento in cui è nei database dei criminali, la sua unica funzione è diventata quella di farvi del male. Va cambiata, ovunque sia stata usata.

Cosa fare subito: i passi concreti

Di fronte all’avviso, conviene agire con ordine anziché nel panico. Ecco i passi nell’ordine giusto.

Per prima cosa, cambiate immediatamente la password segnalata sul servizio a cui appartiene, scegliendone una nuova, lunga e mai usata prima. Se non ricordate a quale account fosse associata, le impostazioni di sicurezza di iPhone e Android mostrano l’elenco delle password compromesse con il relativo servizio, e spesso offrono un collegamento diretto per modificarla.

Subito dopo, e questo è il passaggio più trascurato, cambiate quella stessa password su ogni altro account dove l’avete riutilizzata. È qui che si gioca la vera sicurezza: finché quella password resta attiva da qualche parte, la porta rimane aperta. Date la precedenza agli account critici, a partire dalla posta elettronica, poi servizi bancari, poi social e tutto il resto.

Come terzo passo, attivate l’autenticazione a due fattori sugli account più importanti. Questo fa sì che, anche se una password venisse nuovamente compromessa, un eventuale attaccante non possa accedere senza un secondo codice che solo voi possedete. È la singola misura più efficace per proteggere un account, ed è il motivo per cui vale la pena dedicarle qualche minuto. Infine, se volete verificare in autonomia quali dei vostri account sono coinvolti in violazioni note, potete usare uno strumento gratuito e affidabile come Have I Been Pwned, che permette di controllare se un indirizzo email è comparso in un data breach.

Attenzione: non tutti gli avvisi sono veri

C’è un’insidia da conoscere: i criminali sfruttano la paura generata da questi avvisi per costruire vere e proprie truffe. Accanto agli alert legittimi di iPhone, Android e browser, circolano infatti finti avvisi di password compromessa, mostrati tramite pop-up ingannevoli, email allarmistiche o messaggi che imitano la grafica dei sistemi operativi.

L’obiettivo di questi falsi avvisi è indurvi a cliccare su un link, inserire le vostre credenziali su una pagina fasulla o scaricare un finto strumento di “pulizia”. Il risultato, paradossalmente, è proprio quello che temevate: consegnare le vostre password agli attaccanti. Per riconoscerli valgono alcune regole semplici. Gli avvisi autentici di iPhone e Android compaiono nelle impostazioni di sistema o del browser, non come pop-up improvvisi su una pagina web, non chiedono mai di pagare per “risolvere” il problema e non vi reindirizzano a moduli esterni in cui digitare la password.

Nel dubbio, la regola d’oro è non cliccare su nulla all’interno dell’avviso sospetto: aprite voi, manualmente, le impostazioni del telefono o del servizio interessato e verificate da lì. Per approfondire come distinguere un allarme reale da uno fraudolento, è utile la nostra guida sui finti avvisi di sicurezza e come riconoscerli.

Come evitare che succeda di nuovo

Una volta gestita l’emergenza, vale la pena adottare alcune abitudini che riducono drasticamente la probabilità di rivedere quell’avviso in futuro. La prima, e la più importante, è usare una password diversa per ogni servizio. In questo modo, anche se un sito viene violato, il danno resta confinato a quel singolo account e non si propaga a tutti gli altri.

Ricordare decine di password uniche e complesse è impossibile a memoria, ed è qui che entra in gioco il password manager: un’applicazione che genera password robuste e le conserva in un archivio cifrato, chiedendovi di ricordarne una sola. È lo strumento che rende la buona sicurezza finalmente pratica, e su cui vale la pena approfondire leggendo le nostre regole per costruire password forti. A questo si aggiunge l’autenticazione a due fattori, da attivare ovunque sia disponibile, che resta la difesa più solida anche quando una password viene compromessa.

Quanto detto vale per la sicurezza personale, ma il problema delle credenziali compromesse assume una dimensione ben più seria per le aziende. Una sola password riutilizzata da un dipendente può diventare la porta d’ingresso a un’intera infrastruttura, e in quel caso non basta cambiare una parola d’ordine. Le organizzazioni che vogliono sapere quanto i propri sistemi siano esposti a un attacco basato su credenziali rubate possono affidarsi a un vulnerability assessment, che individua le debolezze prima che vengano sfruttate.

La vostra azienda gestisce decine di account e credenziali e volete sapere quanto siete esposti a un attacco? Un Vulnerability Assessment individua le vulnerabilità dei vostri sistemi prima che lo facciano gli attaccanti. Contattaci ora.