Come fanno gli hacker a rubare le password?

Gli hacker rubano le vostre password attraverso una serie di modalità, tra cui la violazione dei dati, il cracking delle password, il “guessing”, il furto fisico e il malware. Questo può avere gravi conseguenze, soprattutto se gli hacker ottengono l’accesso ai vostri account, ma ci sono modi per proteggersi.

Cosa succede quando la password viene rubata?

Quando la password viene rubata, i criminali informatici possono vendere le informazioni sul dark web ad altri hacker o usarle loro stessi per commettere altri crimini informatici.

Le credenziali rubate possono dare agli hacker l’accesso a account importanti, come il vostro conto bancario, e consentire loro di rubare altre informazioni di tipo personale (Personally Identifiable Information-PII). Questo può portare a gravi conseguenze, come il furto di identità e di denaro. Il recupero di un’identità rubata richiede tempo e denaro, e le conseguenze possono accompagnare le vittime per anni.

Metodi utilizzati dagli hacker per rubare le password

Ecco alcuni metodi utilizzati dagli hacker per rubare le password.

1) Violazione dei dati

Le violazioni dei dati sono uno dei modi più comuni per rubare le credenziali. Nel 2022, oltre 422 milioni di persone negli Stati Uniti sono state colpite da 1.802 violazioni di dati. Queste violazioni, spesso in aziende importanti con milioni di utenti, possono esporre nomi utente e password, informazioni sanitarie, numeri di carte di credito, numeri di previdenza sociale e altro ancora.

Per scoprire rapidamente se le vostre credenziali sono state compromesse in una violazione, completate una scansione nel dark web.

2) Cracking di password tramite brute force

La forza bruta è un metodo di cracking delle password che utilizza un bot per indovinare ripetutamente password casuali finché non trova quella giusta. Questi bot possono provare centinaia di password al secondo, ma è più probabile che indovinino password che includono parole del dizionario (noto anche come attacco a dizionario) o password brevi.

Una password casuale di otto caratteri può essere violata in otto ore. Una password più corta può essere violata quasi istantaneamente. Una password casuale di diciotto caratteri con un mix di numeri, lettere e caratteri speciali richiederebbe trilioni di anni per essere decifrata.

3) Guessing

Gli hacker possono raccogliere informazioni ricercando il footprint digitale dell’utente e tentare di indovinare la password utilizzando quanto appreso. Ad esempio, potrebbero provare a utilizzare i nomi dei vostri cari, il vostro compleanno o l’indirizzo di casa come parte di una password. Purtroppo, i criminali informatici hanno spesso successo in questi tentativi, poiché la creazione di una password con queste informazioni è comune. Evitate di utilizzare i dati personali, soprattutto quelli che si trovano sui social media, per rendere più forti le vostre password.

I guessing possono includere anche le comuni password predefinite, che possono essere più facili da indovinare rispetto a una password casuale. È importante cambiare le proprie credenziali dalla password predefinita sui nuovi account a una password unica e complessa.

4) Shoulder surfing

Il Shoulder surfing consiste nel rubare informazioni, comprese le password, osservando fisicamente la vittima che inserisce le informazioni. Le tecniche possono comprendere i criminali che si chinano mentre qualcuno sta inserendo il PIN in un bancomat o che riprendono un utente mentre digita la propria password. Questo può accadere in ufficio, in uno spazio di coworking, in un caffè o ovunque la tastiera o lo schermo del computer siano visibili.

È importante prevenire il fenomeno dello “shoulder surfing” evitando di annotare le password, utilizzando schermi per la privacy e la funzione “nascondi password” quando la si inserisce in luoghi pubblici.

5) Malware e keylogging

I file e i link dannosi possono contenere malware, ovvero software dannosi progettati dai criminali informatici. Gli utenti possono scaricare accidentalmente il malware quando sono vittime di truffe online come gli attacchi di phishing. Esistono molti modi in cui il malware può compromettere il computer, ma uno dei tipi più comuni, chiamato keylogger, registra la pressione dei tasti. Grazie a questa registrazione, il criminale informatico può rubare le vostre credenziali e qualsiasi altra informazione riservata o sensibile digitata sul computer.

6) Attacchi Man-in-the-middle

Gli attacchi Man-in-the-middle si verificano quando i criminali informatici intercettano i dati inviati tra due entità. Esistono diversi metodi per farlo, ma i criminali informatici spesso utilizzano il WiFi pubblico per attaccare le loro vittime. Con gli attacchi man-in-the-middle si possono rubare molte informazioni sensibili, comprese le credenziali.

Evitare il WiFi pubblico, impostare una password forte per la rete domestica e utilizzare una VPN può aiutare a prevenire questi attacchi.

7) Social engineering

I criminali informatici spesso utilizzano l’ingegneria sociale per rubare le credenziali. L’ingegneria sociale, che può essere utilizzata insieme ad altri metodi come il phishing, consiste nell’utilizzare metodi psicologici per ottenere la fiducia della vittima e aumentare la probabilità che fornisca informazioni sensibili. Queste tecniche spesso utilizzano ricerche raccolte dal footprint digitale della vittima per aiutarla a guadagnare fiducia. Esempi di questi metodi possono essere l’utilizzo di un messaggio urgente per indurre la vittima a farsi prendere dal panico e a consegnare le informazioni senza riflettere o fingere di essere una persona cara della vittima.

8) Password spraying

Nel caso del password spraying, gli hacker utilizzano alcune password comuni per attaccare più account su un singolo sito web o applicazione. Le password comuni, come 123456, sono un facile bersaglio, poiché molte persone le utilizzano pur sapendo che non sono molto sicure. Questo tipo di attacco probabilmente consentirà all’hacker di accedere a centinaia di account su una piattaforma importante ed eviterà il blocco della password che avviene con gli attacchi a brute force.

L’utilizzo di password uniche e complesse per tutti gli account impedisce questo tipo di attacco.

9) Phishing

Uno degli attacchi più comuni, il phishing, si verifica quando un hacker finge di essere un’entità legittima, come la vostra banca, e richiede informazioni sensibili, come la vostra password. Per raccogliere le vostre credenziali può anche utilizzare un sito “spoofed”, ovvero una pagina di login falsa che assomiglia a quella reale.

Come capire che le vostre password sono state rubate

A seconda del tipo di attacco, potete scoprire che la vostra password è stata rubata in diversi modi. Se non riuscite ad accedere al vostro account perché la password è stata modificata, è segno che un criminale informatico ha rubato la password e si è impossessato del vostro account. Le password trapelate durante le violazioni dei dati vengono vendute sul dark web. Potrete scoprire se una delle vostre credenziali è stata rubata utilizzando uno strumento di monitoraggio del dark web.

Come proteggere le password dagli hacker

Ecco alcuni suggerimenti per proteggere le vostre password.

Utilizzate password forti e uniche per ogni account
I criminali informatici hanno molto successo nel provare le password comuni perché un gran numero di persone le usa ancora.

Secondo una ricerca di SplashData, tra le password più comuni al mondo vi sono:

• 123456
• password
• 12345
• 12345678
• football
• qwerty
• 1234567890

Si consiglia di utilizzare una password con almeno 12 caratteri, tra cui lettere maiuscole e minuscole, numeri e simboli speciali. La password deve essere casuale, senza parole del dizionario o dettagli personali come la data di nascita.

Avere password uniche per tutti i vostri account rende difficile ricordarle, ma l’uso di un gestore di password vi aiuterà. I gestori di password memorizzano le vostre password in una cassetta di sicurezza che può essere sbloccata solo con la vostra password principale, l’unica che dovrete ricordare.

Cambiate le vostre password quando si verificano delle violazioni
Utilizzate uno strumento di monitoraggio del dark web per sapere quando si verificano le violazioni dei dati che hanno compromesso i vostri account. Quando vi viene notificato che una password è stata compromessa, cambiatela subito.

Imparate a riconoscere i tentativi di phishing
Identificare i tentativi di phishing è diventato più complicato in un mondo in cui l’intelligenza artificiale può imitare efficacemente la scrittura di persone reali. Il phishing può apparire sotto forma di e-mail, sms o altri messaggi e spesso sostiene che l’utente deve completare un’operazione urgente per evitare di perdere denaro o subire altre conseguenze. Il messaggio può chiedere all’utente di consegnare informazioni sul conto o PII come il numero di previdenza sociale.

Per evitare il phishing, siate scettici nei confronti dei messaggi inaspettati e seguite le notizie sulla sicurezza informatica per conoscere i nuovi tipi di attacchi che stanno emergendo.

Proteggere le password dagli hacker

L’utilizzo di password uniche e complesse, con un mix di tipi di caratteri, è il modo migliore per proteggere le password dagli hacker.

Keeper Password Manager genera automaticamente password forti, le archivia in modo sicuro in una cassetta di sicurezza crittografata e inserisce automaticamente le password nei siti web, evitando di doverle digitare manualmente.

Fonte: Keeper Security