Furto di account e violazioni di dati

Modulo 1: Perché Lei è un bersaglio · Tempo di lettura: 10 minuti

Obiettivo formativo: dopo questa lezione saprà spiegare come vengono riutilizzate le credenziali di accesso rubate e cosa succede ai dati trapelati.
Concetti chiave: furto di account, credential stuffing, infostealer, cookie di sessione, violazione di dati, dati personali, combo list

Accedere invece di irrompere

Il modo più semplice per entrare in un sistema non è cercare una falla, ma semplicemente accedere con le credenziali corrette. Chi possiede il Suo indirizzo e-mail e la Sua password non deve violare nulla: per il sistema è semplicemente Lei. Questo si chiama furto di account (account takeover): qualcun altro si impadronisce di un account e lo utilizza come se ne fosse il proprietario.

Per una piccola impresa, la casella di posta è l'account più importante. Chi ha accesso alla Sua casella di posta può:

• tramite la funzione "password dimenticata", reimpostare le password di quasi tutti gli altri Suoi account;
• leggere la Sua posta e inviare proprio al momento giusto una fattura falsa (lezione 1.2);
• inviare messaggi a nome Suo ai clienti, che si fidano di Lei;
• impostare una regola di inoltro, in modo da continuare a ricevere inosservato una copia di tutta la posta, anche dopo che Lei ha cambiato la password (lezione 2.5).

Ma come fa un aggressore a ottenere la Sua password? Esistono tre vie principali: Lei stesso la inserisce su un sito falso (phishing, modulo 3), trapela da un altro servizio dove l'aveva usata anche Lei, oppure un software dannoso presente sul Suo computer la ruba. Qui trattiamo le ultime due.

Credential stuffing: una violazione, tentativi ovunque

I siti web vengono violati regolarmente. In seguito a tali violazioni, spesso finiscono allo scoperto gli indirizzi e-mail e le password degli utenti, a volte leggibili, a volte in una forma che con potenza di calcolo può essere ricondotta all'originale. Questi dati vengono raccolti, uniti e scambiati in enormi elenchi di indirizzi e-mail con password: le cosiddette combo list.

Con un elenco di questo tipo, un aggressore effettua il credential stuffing: prova automaticamente ogni coppia di indirizzo e-mail e password su altri servizi. OWASP, una nota organizzazione aperta per la sicurezza web, lo descrive come l'inserimento automatizzato di credenziali rubate per ottenere l'accesso agli account. Funziona per un solo motivo: le persone usano la stessa password in più luoghi.

Un esempio. Petra, titolare della Panetteria Example, anni fa ha creato un account presso un negozio online di articoli per la panificazione, con info@example.com e la password che usava ovunque all'epoca. Quel negozio online viene violato. Un anno dopo, la sua combinazione finisce in una combo list. Un programma la prova in una sola notte su:

Petra non si accorge di nulla: non ha visto alcuna e-mail di phishing e non ha cliccato nulla. Le lezioni da trarre: una password unica per ogni servizio impedisce che una violazione si propaghi (lezioni 2.1 e 2.2), e l'autenticazione a due fattori (2FA) blocca un aggressore che pure possiede la password corretta (lezione 2.3). Può verificare Lei stesso su https://haveibeenpwned.com se il Suo indirizzo e-mail compare in una violazione nota.

Un errore comune è creare un "sistema" per variare le password: Bakkerij2025! per la posta e Bakkerij2025!boekhouding per la contabilità. I programmi che utilizzano le combo list provano anche queste varianti così prevedibili.

Infostealer: la password direttamente dal Suo computer

Un infostealer è un software dannoso che raccoglie dati dal Suo computer e li invia all'aggressore. Microsoft descrive che gli infostealer prelevano dai browser, tra l'altro, nomi utente e password salvati, cookie di sessione, dati dei moduli compilati automaticamente e dati delle carte di credito. Si riceve un programma di questo tipo ad esempio tramite un download falso ("versione gratuita di un programma costoso"), un allegato, una pubblicità falsa o un sito che chiede di copiare e incollare un comando "per risolvere un problema".

Un infostealer spesso agisce nel giro di pochi minuti e poi scompare. Il bottino, un cosiddetto log con tutti i dati di quel singolo computer, viene venduto. A volte viene utilizzato anni dopo.

Perché un cookie di sessione è così pericoloso

Quando accede a un sito web, con password e autenticazione a due fattori, il Suo browser riceve un cookie di sessione: un piccolo file che a ogni richiesta successiva dimostra che Lei ha già effettuato l'accesso. Per questo non deve reinserire il codice a ogni clic.

Chi ruba quel cookie può inserirlo nel proprio browser e risulta a sua volta già connesso. Non ha bisogno della Sua password né del Suo secondo fattore, perché l'accesso è già avvenuto. MITRE ATT&CK, una banca dati pubblica di tecniche di attacco, lo afferma esplicitamente: i cookie di sessione possono essere utilizzati per aggirare alcune forme di autenticazione a più fattori.

Cosa aiuta contro gli infostealer e i cookie rubati:

• non installare software da fonti sconosciute e non lavorare con un account amministratore, in modo che l'installazione non riesca facilmente (lezione 5.2);
• aggiornare il sistema operativo e il browser (lezione 5.1);
• dopo un'infezione, prima pulire il computer o reinstallarlo, poi, da un dispositivo pulito, cambiare le password e revocare tutte le sessioni, in modo che i cookie rubati diventino non validi (lezioni 2.5 e 3.5);
• metodi di accesso resistenti al phishing come le passkey, che rendono impossibile il furto delle credenziali tramite siti falsi (lezione 2.4).

Cos'è una violazione di dati

Finora abbiamo parlato dei Suoi account personali. Ma se un aggressore entra nella Sua casella di posta, nella Sua contabilità o nel Suo negozio online, vede anche i dati di altre persone: clienti, dipendenti, soci. In quel caso si tratta di una violazione di dati.

Il GDPR definisce i dati personali come qualsiasi informazione riguardante una persona identificata o identificabile: un nome, un indirizzo e-mail, un numero di telefono, un indirizzo, ma anche un numero cliente che può essere collegato a una persona. Una violazione di dati (nel GDPR: violazione di dati personali, articolo 4, punto 12) è una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica o la divulgazione non autorizzata di dati personali, o l'accesso non autorizzato agli stessi.

Una violazione di dati non deve necessariamente essere un attacco informatico. Anche questi casi possono costituire una violazione di dati:

• un'e-mail con un elenco di clienti inviata al destinatario sbagliato;
• un laptop rubato o smarrito senza cifratura;
• un link di condivisione verso una cartella con curriculum che risulta pubblicamente accessibile su internet;
• una casella di posta compromessa contenente fatture con nomi e indirizzi;
• file cifrati da un ransomware di cui non si dispone di un backup (distruzione e perdita).

A una violazione di dati sono collegati degli obblighi: Lei registra ogni violazione di dati in un registro delle violazioni, la notifica entro 72 ore al Garante per la protezione dei dati personali, a meno che sia improbabile che essa presenti un rischio per gli interessati, e in caso di rischio elevato informa anche direttamente le persone coinvolte. Come funziona esattamente, lo imparerà nella lezione 8.2. Per ora è importante che Lei non consideri un furto di account solo come "un problema nostro": spesso riguarda anche le persone di cui Lei detiene i dati.

Cosa succede ai dati trapelati

I dati trapelati non scompaiono. Vengono copiati, uniti e rivenduti. Per questo una violazione ha conseguenze che si protraggono a lungo:

• Riutilizzo: le password finiscono nelle combo list per il credential stuffing.
• Phishing più efficace: con il Suo nome, i Suoi clienti e il Suo ultimo ordine, un truffatore crea un'e-mail convincente. Un cliente che la settimana dopo una violazione nel Suo negozio online riceve un "promemoria di pagamento" apparentemente da Lei, paga più rapidamente.
• Furto d'identità: con dati sufficienti su una persona, un truffatore può aprire account o spacciarsi per quella persona.
• Estorsione: "paghi, altrimenti diciamo ai Suoi clienti che i loro dati sono trapelati da Lei" (lezione 1.3).

Per questo conservare meno dati è anch'esso una misura di sicurezza. I dati che non ha, non possono nemmeno trapelare.

Riepilogo

• In un furto di account, l'aggressore semplicemente accede; la casella di posta è l'account più importante, perché con essa si ripristinano altre password.
• Il credential stuffing prova automaticamente su altri servizi le combinazioni trapelate di indirizzo e-mail e password presenti nelle combo list; password uniche e la 2FA lo bloccano.
• Gli infostealer rubano password e cookie di sessione dal browser; con un cookie rubato un aggressore può aggirare alcune forme di 2FA, quindi dopo un'infezione revochi tutte le sessioni.
• Una violazione di dati è qualsiasi violazione della sicurezza dei dati personali, anche un'e-mail inviata per errore o un laptop smarrito.
• I dati trapelati vengono riutilizzati per nuovi attacchi; conservare meno dati significa meno rischio.

Quiz

Esercizio

Esercizio A1.4: Una sola fuga di dati, quali account sono a rischio? Riceve una panoramica degli account di una piccola impresa: quale password (indicata come W1, W2 e così via, mai una password reale) corrisponde a quale servizio, e se l'autenticazione a due fattori è attiva. In seguito, un servizio subisce una fuga di dati. Indichi quali account sono immediatamente a rischio, in quale ordine li affronta e se si tratta di una violazione di dati. Il programma verifica e spiega.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
• Have I Been Pwned (per verificare da sé se il Suo indirizzo e-mail compare in una violazione nota): https://haveibeenpwned.com
• OWASP, Credential stuffing (in inglese): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (in inglese): https://attack.mitre.org/techniques/T1539/
• GDPR (Regolamento (UE) 2016/679), testo ufficiale: https://eur-lex.europa.eu/eli/reg/2016/679/oj