Sempre più spesso si sente parlare di deep web, ovvero la parte più nascosta di Internet utilizzata soprattutto per le transazioni illegali come la vendita di database contenenti credenziali e dati sensibili, trafugati attraverso attacchi hacker. Recentemente è stato individuato un unico database messo in rete da un utente con lo pseudonimo di tomasvanagas, che ha pubblicato un link contenente un miliardo e 400 milioni di nomi, email e password in chiaro, messo a disposizione di chiunque dietro una donazione in Bitcoin. Si tratta senza dubbio del più grande leak di dati personali mai registrato in Internet.
Il database ancora in circolazione unisce diversi elenchi già presenti in rete da diverso tempo, ma aggiornati a novembre 2017 con milioni di nuovi indirizzi e password in chiaro di strutture come Rai, Repubblica, la Sapienza di Roma, la Difesa, Istituti bancari, ministeri e amministrazioni pubbliche, con le stesse password che si ripetono per accedere ai social network e alla posta elettronica.
Molti di questi dati sono obsoleti e molte delle organizzazioni colpite, come la Rai, hanno da tempo ripristinato la situazione, ma ciò che rende prezioso questo elenco, più che la mole dei dati in esso contenuti, è la loro suddivisione in 1900 diversi file e la velocità con cui si ottiene ciò che interessa grazie a uno script di ricerca contenuto nel pacchetto.
Pur trattandosi di dati vecchi, ciò che preoccupa è come possono essere utilizzate queste informazioni per creare una linea guida tramite le password impiegate nel passato da cui trarre indicazioni per futuri attacchi basati sugli schemi utilizzati dagli utenti per generare nuove password. Le informazioni presenti nell'elenco sono associate agli stessi username ottenuti da precedenti sottrazioni come quelle subite da Yahoo, Linkedin, Twitter, Yourporn, Myspace ed altri, da cui si evince come il fenomeno di riutilizzare la medesima password per diversi servizi Web sia assai diffuso.
In effetti analizzando il database si nota come 9 milioni di account usano la stessa password "123456", oltre un milione "password" e trecentomila le parole "monkey" e "dragon". Il 14% di queste credenziali d'accesso finora non erano mai state decifrate, pertanto chi le ha ottenute non si è limitato a raccogliere i dati, ma ha anche trovato il modo di decriptarle.
L'unica questione irrisolta rimane la motivazione dietro tale azione. Una delle opzioni è puramente economica dato che è la prima volta che un venditore chiede una donazione come pagamento, opzione che tuttavia non convince gli esperti.
La concorrenza sleale è quindi una delle strade percorribili, anche se potrebbe esserci un'ipotesi peggiore. Nell'underground infatti esistono gruppi di esperti e di criminali informatici uniti che collaborano condividendo le informazioni apprese gli uni dagli altri. "ESET Italia ricorda come sia fondamentale creare password complesse e differenti per ogni servizio che si utilizza, magari utilizzando un password manager, così che se una di esse dovesse essere compromessa non lo saranno anche tutte le altre.
Nessun commento:
Posta un commento