Violazione dei dati? Verificare e rimediare

Modulo 2: Password e accesso · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione saprà verificare autonomamente se i Suoi dati compaiono in una fuga di dati, reagire nell'ordine corretto a una violazione e recuperare e ripulire un account compromesso.

Concetti chiave: Have I Been Pwned, k-anonimato, notifiche di fughe di dati, revoca delle sessioni, cookie di sessione, dati di ripristino, regole di inoltro

Come viene a sapere che qualcosa è trapelato

Spesso non lo viene a sapere affatto. Una password trapelata può restare per mesi in un elenco combo prima che qualcuno la provi. Presti quindi attenzione a questi segnali:

• Un servizio Le invia un'e-mail dicendo che c'è stata una fuga di dati. Verifichi prima se quell'e-mail è autentica (modulo 3): vada direttamente al sito invece di cliccare sul link.
• Riceve un codice di accesso o una notifica di approvazione che non ha richiesto Lei stesso (lezione 2.3).
• Vede una notifica "nuovo accesso da un dispositivo sconosciuto".
• Clienti o colleghi ricevono strane e-mail "da Lei", oppure Le manca un'e-mail che risulta inviata.
• Il Suo gestore di password avverte che una password compare in una fuga di dati.
• Non riesce più ad accedere, oppure i Suoi dati di ripristino sono cambiati.

Verificare personalmente con Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) è un servizio noto e gratuito che raccoglie dati provenienti da fughe di dati pubblicamente note. Può cercare direttamente il Suo indirizzo e-mail. Vedrà in quali fughe di dati compare l'indirizzo e quali tipi di dati erano coinvolti: solo indirizzi e-mail, oppure anche password, nomi, numeri di telefono o indirizzi. Con la funzione "Notify me" riceve un'e-mail se il Suo indirizzo compare in una nuova fuga di dati.

Lo faccia Lei stesso, sul sito del servizio. In questo corso non Le chiederemo mai di inserire il Suo indirizzo e-mail o la Sua password da nessuna parte.

Esiste anche una sezione Pwned Passwords, con cui gestori di password e siti web verificano se una password è mai trapelata. Funziona con il k-anonimato: la Sua password viene trasformata sul Suo stesso dispositivo in un hash (un'impronta digitale) e solo i primi 5 caratteri di questo vengono inviati al servizio. Il servizio rimanda indietro tutti gli hash noti che iniziano con quei 5 caratteri, e il Suo dispositivo verifica se il Suo hash completo è tra questi. Il servizio quindi non vede mai la Sua password e non sa nemmeno quale, tra le centinaia di hash restituiti, sia il Suo.

Due osservazioni:

• Non essere nell'elenco non significa essere al sicuro. Una fuga di dati non (ancora) nota non vi compare. Gli infostealer (lezione 1.4) rubano anche password che non finiscono mai in una fuga di dati pubblicata.
• Essere nell'elenco non significa che tutto è perduto. Verifichi quali dati sono trapelati e quando. Una password che non usa più da anni non è un problema; una password che usa ancora ovunque sì.

Cosa fare per prima cosa dopo una fuga di dati

L'ordine è importante. La regola principale: prima la Sua casella di posta, perché con la Sua casella di posta un malintenzionato può impadronirsi di quasi tutti gli altri Suoi account tramite "password dimenticata".

Perché revocare le sessioni

Quando effettua l'accesso, il Suo browser riceve un cookie di sessione: una sorta di pass d'accesso temporaneo, così non deve autenticarsi di nuovo a ogni clic. Chi possiede quel cookie è connesso. Senza password e senza secondo fattore.

Esattamente questo rubano gli infostealer: non solo le Sue password, ma anche i Suoi cookie. E un malintenzionato che si è connesso con la Sua password possiede anch'esso una sessione. Se cambia solo la password, in alcuni servizi quella sessione continua semplicemente a funzionare.

Per questo, dopo una fuga di dati o un accesso sospetto, controlli presso ogni servizio importante l'elenco delle sessioni attive o dei dispositivi, e disconnetta tutto ciò che non riconosce, oppure tutto tranne il dispositivo su cui sta lavorando ora. In molti servizi una nuova password La disconnette automaticamente ovunque; verifichi comunque.

La regola di inoltro come porta di servizio

Un caso come capita spesso. La contabile della Panetteria Example clicca su un'e-mail di phishing e inserisce la sua password della posta. Il malintenzionato accede a factuur@example.com e fa tre cose:

1. Crea una regola: ogni e-mail con "fattura", "pagamento" o "IBAN" nell'oggetto viene inoltrata a un indirizzo esterno su leverancier-administratie.example e viene poi spostata nel cestino.
2. Imposta il proprio numero di telefono come numero di ripristino.
3. Esce di nuovo dal sistema.

La contabile si accorge che qualcosa non va e cambia la password. Risolto, pensa lei. Ma la regola continua a funzionare. Il malintenzionato legge per settimane ogni fattura, e un giorno un cliente riceve una fattura "modificata" con un IBAN diverso (lezione 1.2). Tramite il numero di ripristino può anche riprendersi l'account in seguito.

Verifichi quindi sempre, in una casella di posta:

• regole e filtri: in particolare le regole che inoltrano o eliminano;
• l'inoltro nelle impostazioni della casella di posta e nel Suo pannello di hosting;
• risposte automatiche che non ha creato Lei stesso;
• password per le app e app collegate: rimuova ciò che non riconosce;
• dati di ripristino e l'elenco dei dispositivi nell'autenticazione a due fattori.

Se un account è davvero stato compromesso

Se non riesce più ad accedere, usi solo la procedura di recupero ufficiale del servizio. La trova andando direttamente al sito, non tramite un link proveniente da un'e-mail o da un annuncio pubblicitario di un motore di ricerca. Faccia attenzione a chi offre "aiuto per il recupero" contattandoLa sui social media o che Lei stesso contatta così: spesso sono truffatori che vogliono colpirLa una seconda volta.

Successivamente:

• esegua i passi da 3 a 8 della tabella sopra;
• crei nuovi codici di ripristino e attivi un secondo fattore più sicuro (lezioni 2.3 e 2.4);
• segnali la frode o il phishing alla Polizia Postale e delle Comunicazioni (https://www.commissariatodips.it/) e sporga denuncia presso la polizia in caso di danno;
• metta per iscritto cosa è successo e quando. Se riguardava dati di clienti, potrebbe trattarsi di una fuga di dati (lezione 8.2).

Nella pratica: ecco come si presenta

Nell'ambiente WebOké, in Mio WebOké alla voce Dati di accesso trova la scheda Sessioni attive, con per ogni sessione il browser, il sistema, l'indirizzo IP e da quando è attiva. Può disconnettere una singola sessione oppure disconnettersi ovunque tranne dal dispositivo su cui si trova ora. In Nextcloud, alla voce Sicurezza, trova il riepilogo Dispositivi e sessioni, dove può anche revocare o cancellare da remoto un dispositivo. L'inoltro e i filtri di una casella di posta si trovano nel pannello di hosting e nella webmail. Presso altri fornitori funziona in modo simile: cerchi "sessioni", "dispositivi", "sicurezza" o "attività recente".

Riepilogo

• Verifichi personalmente su haveibeenpwned.com se il Suo indirizzo e-mail compare in una fuga di dati nota; Pwned Passwords funziona con il k-anonimato (solo i primi 5 caratteri dell'hash vengono inviati).
• Non essere nell'elenco non equivale a essere al sicuro.
• Dopo una fuga di dati: prima la casella di posta, poi la revoca delle sessioni, la verifica dell'autenticazione a due fattori e dei dati di ripristino.
• Un cambio password non elimina le regole di inoltro, le password per le app o le sessioni rubate.
• Un account compromesso si recupera solo tramite la via ufficiale del servizio.

Quiz

Esercizio

Esercizio D2.5: La Sua verifica personale delle fughe di dati e il giro di pulizia. Verifichi personalmente su haveibeenpwned.com i Suoi indirizzi e-mail aziendali e attivi "Notify me". Controlli, per la Sua casella di posta e i Suoi account principali, le sessioni attive, le regole di inoltro, le password per le app e i dati di ripristino, e rimuova ciò che non riconosce. Spunti la checklist e risponda alle domande di riflessione. Nel corso non inserirà alcun indirizzo e-mail o password.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori funziona in modo simile.

• Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
• Guida a Nextcloud 3.6: Visualizzare, revocare o cancellare da remoto dispositivi e sessioni
• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Impossibile accedere a Nextcloud: password, codice o limitazione dei tentativi
• Casella di posta compromessa o spam inviato dal Suo indirizzo: ecco come risolvere
• Have I Been Pwned (cerchi personalmente il Suo indirizzo e-mail): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (in inglese, spiegazione del k-anonimato): https://haveibeenpwned.com/Passwords
• Polizia Postale e delle Comunicazioni (per segnalare frodi e phishing): https://www.commissariatodips.it/