Account Internet violato (PWNED)? Come saperlo?

Quanti hanno un Account Internet su almeno uno dei maggiori servizi online (LinkedIN, Facebook, Google, etc.)? Se fosse un account violato (pwned) cosa potrebbe succedere? Come può accadere? Cosa possiamo fare? Abbiamo modo di scoprirlo?

Cosa significa PWNED?

Nello slang Internet PWNED viene definito come “Owned, dominated” (posseduto) or “Perfectly Owned” (perfettamente/completamente posseduto) e secondo i vari dizionari del gergo “internettiano” più o meno recente deriva da modi di dire o errori di battitura presenti in alcuni vecchi giochi per PC.

Ma esattamente cosa s’intende per account violato o pwned? Significa che qualcuno è riuscito a recuperare il nostro username (spesso la nostra email) e la nostra password per l’accesso al nostro Account Internet. Una volta violato un account spesso viene preso possesso e quindi utilizzato il servizio a proprio piacimento: viene cambiata la password e vengono eseguite attività a proprio nome con il rischio spesso di furto di denaro accedendo ai propri di sistemi di pagamento.

Le conseguenze di un account violato?

Con la crescita dei social network e dei portali di servizi, questi sono evoluti letteralmente intrecciandosi tra loro. In particolare per semplificare l’accesso agli utenti verso i propri servizi, la maggior parte dei gestori permette di utilizzare come metodo di registrazione ed autenticazione al proprio sito lo stesso dei principali social network. In questo modo si ottiene un sistema comodo detto single sign on: ovvero un sito anzichè chiedere tutta una serie di dati di registrazione, più username e password, richiede di accedere tramite Facebook, o Google+ o Twitter, etc.

In questo modo si ha la comodità di non dover ricordare diversi account ed una volta acceduto al servizio social principale, si accede automaticamente ai servizi offerti dai siti a quali si è registrati in questo modo.

Qual’è il problema fondamentale di questo sistema? Una volta che un malintenzionato ha acceduto all’account social principale avrà accesso a tutti gli altri servizi ad esso collegati, compresi quelli di pagamento.

Come può accadere?

Per ottenere un account violato esistono diverse tecniche, fondamentalmente le principali, senza voler entrare nel dettaglio in questo articolo, sono: per intercettazione, forza bruta, phishing, social engineering e per recupero da elenchi pubblici.

Intercettazione

Si ottiene un account violato dal furto delle credenziali d’accesso per intercettazione, questo avviene per mezzo di programmi che sono in ascolto tra il nostro PC ed il server al quale ci stiamo autenticando i quali registrano tutto il traffico dati. Questo tipo di attacco sfrutta la debolezza di configurazione del server al quale ci si sta collegando e la qualità della cifratura della trasmissione dati.

Forza bruta

Questa tecnica prova in modo sistematico varie possibili combinazioni di password, spesso utilizzando un database di password “più usate”. Probabilità di ottenere un account violato dipende tutto dalla qualità della nostra password: ovvero se è stata creata con i giusti criteri in modo da renderla resistente a questo tecnica di violazione.

Phishing

Via posta elettronica sempre più spesso sono spedite email falsificate ad arte che, spacciandosi per fornitori di servizi noti, richiedono i propri dati di accesso o addirittura i dati della propria carta di credito ai fini di un controllo di sicurezza. L’utente dando credito a queste email truffaldine forniscono spontaneamente a malintenzionati i propri dati di accesso, regalando di fatto il proprio account violato.  (scopri di più)

Virus

Sia via email che via sistemi di messaggistica social, Facebook in particolare, stanno circolando virus/malware che ingannando con messaggi fasulli, come provenienti da utenti noti, invitano a cliccare su link che infettano il PC, Smartphone e Tablet, quest’ultimi particolarmente sensibili a questi attacchi, che possono prendere possesso direttamente dei propri account social.

Social Engineering

Molto simile al phishing, questa tecnica viene eseguita personalmente dai malintenzionati senza necessariamente l’ausilio di strumenti tecnologici. Il più semplice è il cercare di leggere la password di una persona durante la digitazione da parte dell’utente.

Elenchi pubblici

Sempre più spesso leggiamo di siti o servizi importanti che sono stati attaccati da pirati informatici i quali acceduti alle banche dati degli utenti pubblicano su siti web pubblici tutte le informazioni, rendendole a disposizione di chiunque.

Nella top ten dei siti di servizi violati, per milioni di account rubati e pubblicati troviamo a tutt’oggi (fonte haveibeenpwned.com):

• MySpace 359,420,698  accounts
• LinkedIn  164,611,595  accounts
• Adobe  152,445,165  accounts
• VK  93,338,602 accounts
• tumblr  65,469,298 accounts
• Fling  40,767,652 accounts
• Ashley Madison  30,811,934 accounts
• Mate1.com  27,393,015 accounts
• 000webhost  13,545,468 accounts
• R2Games  13,186,088 accounts

ai quali seguono molti altri siti noti.

Come sapere se abbiamo un account violato?

Se notiamo attività anomale, messaggi non inviati da noi, oppure ammanchi sulla propria carta di credito, questo è un primo segnale che deve portare ad un serio sospetto di violazione dei propri account.

Esiste anche la possibilità che i nostri dati siano disponibili online in elenchi pubblici, pubblicati da pirati informatici che hanno violato servizi importanti (MySpace, LinkedIn, etc.): esiste un servizio gratutito online che fornita la propria email informa se i nostri dati sono stati soggetti a violazione e pubblicazione, indicando anche tramite quale servizio il nostri dati sono stati trafugati.

Il sito è https://haveibeenpwned.com/

Se dal sito risulta che siete pwned, beh allora vuol dire che dovete affrettarvi a cambiare la vostra password nel servizio che vi verrà indicato.

Inoltre se vi registrate, avrete la possibilità di essere segnalati qual’ora la vostra email comparisse all’interno di un’operazione di violazione di account tra i più noti servizi online.

Come prevenire un account violato?

Innanzitutto è importante impostare una password che sia sicura, quantomeno nella sua forma: ovvero sia superiore agli 8 caratteri e che contenga sia numeri che caratteri, possibilmente minuscoli e maiuscoli. L’ideale, inoltre, è quello di evitare parole note: in modo da prevenire attacchi sia di forza bruta che basati su dizionari di password note.

E’ importante prevedere un ricambio delle proprie password, l’ideale sarebbe almeno una volta ogni 6 mesi.

Bisogna fare attenzione anche a quando si inseriscono le proprie credenziali in modo da non essere visti e di non condividerle con nessuno.

Se utilizzate spesso servizi come Facebook, Linkedin, Twitter etc. è importante che attiviate al più presto i sistemi di sicurezza/privacy previsti da ciascun servizio.

Nei prossimi articoli vedremo come funzionano e come configurarli.

A presto.