Uno sguardo approfondito agli attacchi alle password e come fermarli

Cos'è un attacco alle password?

In poche parole, la definizione di attacco alle password comprende vari metodi che gli attori malevoli tentano di violare un sistema o un account compromettendo le credenziali degli utenti. Queste intrusioni mirano spesso a sfruttare le debolezze nei sistemi di autenticazione o approfittano di password facilmente prevedibili o comunemente utilizzate.

Come Gartner osserva, “gli utenti non autorizzati impiegano software o altre tecniche di hacking per identificare password comuni e riutilizzate che possono sfruttare per accedere a sistemi, dati o beni confidenziali.” Norton definisce un attacco alle password come “un metodo di attacco informatico in cui un attaccante tenta di ottenere accesso non autorizzato a un sistema decifrando o indovinando la password di un account utente”

Perché gli attacchi alle password sono una minaccia crescente

I dati di Microsoft Entra mostrano che i tentativi di attacco alle password sono aumentati a 4.000 al secondo in media. Le password troppo spesso fungono da unica linea di difesa a protezione degli account online critici e degli account compromessi. Il compromesso di questa singola linea di difesa può portare a guadagni finanziari significativi, furto d'identità o accesso a informazioni sensibili. Oltre al richiamo del premio, gli attacchi alle password continuano ad aumentare in frequenza anche per altri motivi:

• L'enorme quantità di servizi online che richiedono password
• Le persone continuano a riutilizzare le stesse password su più account.
• La proliferazione di strumenti per il cracking delle password e l'aumento del numero di database di credenziali trapelate sul dark web hanno abbassato la barriera d'ingresso per gli attaccanti principianti
• I cybercriminali esperti utilizzano strumenti avanzati e tecniche potenziate dall'intelligenza artificiale per il cracking delle password e il phishing

Comprensione delle vulnerabilità delle password

Debolezze comuni nella Password Security

Nonostante gli sforzi nell'educazione sulle password, la verità è che l'elemento umano rimane un punto debole significativo nella sicurezza delle password. Troppi utenti continuano ad utilizzare password facilmente indovinabili o riutilizzano la stessa password su più account. Allo stesso tempo, ci sono ancora organizzazioni che non applicano politiche di password forti o continuano a permettere password di default o comuni sui dispositivi. Per esempio, sistemi senza adeguate politiche di blocco o limitazione dei tentativi di accesso sono vulnerabili ad attacchi di indovinamento automatizzati. Altre debolezze includono procedure di reset della password insicure che si basano su domande di sicurezza facilmente indovinabili, così come l'assenza di autenticazione multifattore per potenziare la sicurezza delle password.

Contenuti correlati selezionati:

• Come prevenire gli attacchi informatici: Strategie e migliori pratiche

Come gli hacker sfruttano le password deboli

Il concetto alla base di un attacco alle password è semplice. Dato abbastanza tempo, un attaccante può semplicemente provare tutte le combinazioni di password fino a trovare quella corretta. Più semplice è la password, più velocemente può essere completato questo processo. A volte, può essere semplice come indovinare un insieme di password comunemente utilizzate per prendere di mira la frutta a portata di mano. Alcune delle metodologie di attacco popolari utilizzate dagli attaccanti oggi includono attacchi a forza bruta, riempimento delle credenziali e spruzzatura di password.

Mentre alcuni utenti possono pensare di essere “furbi” sostituendo numeri o caratteri con lettere come “p@ssW0rd” randomizzando maiuscole e minuscole, questa pratica è ben nota agli hacker. Gli hacker non devono sempre indovinare le password. Possono acquistare o scambiare database di password sul dark web o installare malware keylogger sul computer di una vittima per registrare la digitazione e catturare i loro inserimenti di password. Una di queste fonti, chiamata rockyou.txt, è utilizzata nei toolkit per hacker e contiene circa 13 milioni di varianti di password, inclusa l'esempio sopra.

Statistiche sulle violazioni relative alle password

Un fornitore leader di soluzioni per la gestione delle password riporta che in media un dipendente inserisce una password per l'autenticazione su siti web e applicazioni 154 volte al mese. Con una tale dipendenza dalle password, si penserebbe che la sicurezza delle password sarebbe più robusta. Sfortunatamente, le statistiche dipingono un quadro diverso.

• Nel 2022, c'erano 24+ Billion Credentials circolanti sul Dark Web. Le password scadenti possono essere indicate come motivo per quasi l'81% delle violazioni dei dati aziendali.
• Il 41% delle persone ha ammesso di riutilizzare la stessa password su più account.
• Le aziende perdono 480 dollari di produttività per dipendente all'anno a causa del tempo speso per gestire i problemi delle password
• 65% more passwords were compromised in 2022 compared to 2020

Forse la statistica più allarmante è questa. Nonostante tutti i rischi noti delle vulnerabilità delle password, la password più popular password nel 2023 era “123456”.

Tipi di attacchi alle password

Comprendere i tipi di attacco alle password è essenziale per costruire difese efficaci, poiché ogni tipo richiede strategie di prevenzione uniche.

Attacco Brute Force

Un attacco a forza bruta sfrutta weak passwords utilizzando strumenti automatizzati. Qui, un attaccante prova sistematicamente tutte le possibili combinazioni di password fino a trovare quella corretta. Questo viene realizzato utilizzando strumenti automatizzati. I passi per la prevenzione di questo attacco sono altrettanto diretti.

• Utilizza password complesse e forti che siano difficili da indovinare e uniche per ogni account.
• Applica politiche di blocco account che si attivano dopo un numero specificato di tentativi di accesso falliti.
• Implementare l'autenticazione a più fattori (MFA) per una verifica aggiuntiva
• Blocca gli indirizzi IP che mostrano attività di accesso sospette

Attacco a dizionario

A differenza dell'attacco brute force che tenta ogni possibile combinazione di password, un attacco a dizionario utilizza un elenco predefinito di parole comuni, frasi o combinazioni di caratteri elencati in un dizionario o in un elenco di parole. Gli attacchi a dizionario sono più efficienti, consumano meno risorse computazionali e possono essere personalizzati

È possibile prevenire questi attacchi utilizzando misure quali:

• Utilizzare una password di almeno 12 caratteri che includa una combinazione di lettere maiuscole e minuscole, numeri e simboli
• Osserva i tentativi di accesso falliti o schemi di accesso insoliti e configura avvisi per account potenzialmente compromessi
• Integrare una soluzione MFA per richiedere una forma aggiuntiva di verifica
• Blocca gli account dopo un certo numero di tentativi di accesso falliti per rallentare i tentativi di login ripetuti
• Se non sei sicuro che una password attualmente in uso sia già elencata nei dizionari, verificala con servizi affidabili e di buona reputazione come https://haveibeenpwned.com/Passwords

Attacchi di phishing

Il phishing rimane uno dei principali meccanismi di consegna per molti tipi di attacchi informatici, inclusi gli attacchi alle password. Questi includono:

• Email phishing: Gli aggressori inviano email ingannevoli fingendosi organizzazioni legittime per convincere gli utenti a cliccare su un link incorporato che porta a una falsa pagina di login per catturare le password inserite o allegati che contengono malware per rubare le password memorizzate.
• SMS phishing: Si tratta di messaggi di testo fraudolenti inviati a dispositivi mobili che si spacciano per provenire da istituzioni finanziarie o altre entità affidabili. Il messaggio include solitamente un URL accorciato che conduce a un sito web di phishing.
• Phishing basato sulla voce o Vishing: Gli aggressori utilizzano chiamate telefoniche per manipolare le vittime e ottenere le password fingendosi supporto IT, rappresentanti bancari o funzionari governativi.

Fortunatamente, ci sono alcuni modi per riconoscere gli attacchi di phishing:

• Leggete attentamente tutti i messaggi e cercate piccoli errori di ortografia o aggiunte ai nomi legittimi delle aziende. Diffidate dei saluti generici come “Gentile Cliente” invece del vostro nome.
• Diffidate delle richieste di informazioni sensibili poiché le aziende legittime raramente, se mai, utilizzano email o messaggi di testo per chiedere password, numeri di conto o numeri di identificazione personale.
• Sii sospettoso nei confronti dei messaggi che creano un senso di urgenza o dipingono conseguenze gravi se non rispondi rapidamente.
• Non aprire allegati che non ti aspettavi, anche se sembrano provenire da una fonte conosciuta.

Attacco Keylogger

Se un attaccante non vuole perdere tempo a indovinare la tua password, può installare un keylogger sul tuo dispositivo per catturare i tuoi tasti premuti e registrarli. Possono poi rivedere la registrazione per scoprire quando hai inserito password, numeri di carte di credito o altre informazioni sensibili. Alcuni dei modi per prevenire l'installazione di questi keylogger sui tuoi dispositivi includono:

• Installate un programma antivirus o anti-malware di fiducia Evitate di scaricare software da fonti non affidabili.
• Evitate di scaricare software da fonti non affidabili e diffidate degli allegati email sospetti
• Utilizza tastiere virtuali sullo schermo quando inserisci dati sensibili per evitare la registrazione fisica dei tasti premuti.
• Effettua scansioni di sicurezza regolari.
• Eseguire regolarmente scansioni complete del sistema per rilevare eventuali malware nascosti.

Attacco Man-in-the-Middle (MitM)

L'idea qui è che l'attaccante catturi qualsiasi dato trasmesso su una rete e cerchi password. Questo può essere fatto utilizzando punti WIFI falsi che consentono loro di monitorare il traffico, spoofing DNS per reindirizzare gli utenti verso siti web falsi o hijacking di sessione per rubare i cookie di sessione e ottenere accesso non autorizzato agli account senza bisogno della password.

Il miglior modo per mitigare i rischi di MitM è applicare una crittografia forte utilizzando HTTPS su tutte le applicazioni web (e prestare attenzione a qualsiasi avviso di certificato 'non affidabile' o errato) e servizi, così come protocolli sicuri per la trasmissione dei dati. Misure aggiuntive come MFA, politiche di password robuste e la richiesta di connessioni VPN sicure quando ci si connette a WIFI pubblici possono rivelarsi altamente efficaci.

Credential Stuffing

Ci sono elenchi di nomi utente e password in vendita sul dark web. Queste raccolte di credenziali sono state sequestrate durante violazioni di dati. Poiché gli utenti continuano a riciclare le stesse password per tutti i loro account, queste liste di credenziali compromesse possono essere utilizzate in attacchi di riempimento delle credenziali contro siti web popolari. L'idea è che se conoscono le tue credenziali per un rivenditore che è stato compromesso in precedenza, le stesse credenziali potrebbero funzionare su altri rivenditori online, siti di social media popolari o grandi istituzioni finanziarie.

Il modo più efficace per proteggersi dal credential stuffing è utilizzare password uniche per ogni account. L'uso di un gestore di password eliminerà la necessità per gli utenti di ricordare molteplici password, permettendo loro di affidarsi a una sola password principale. Altri meccanismi di difesa includono l'uso di MFA, politiche di blocco degli account, soluzioni di rilevamento dei bot e il monitoraggio del dark web.

Password Spraying

A differenza degli attacchi tradizionali di forza bruta e attacchi dizionario che comportano il tentativo di molte password su un singolo account, il password spraying prende di mira molti account con solo poche password. Invece di ruotare attraverso un elenco di password, ruotano attraverso nomi utente noti utilizzando le password più comuni.

Per proteggersi dagli attacchi di password spraying, le organizzazioni possono implementare diverse strategie di prevenzione efficaci:

• Richiedere agli utenti di creare password complesse difficili da indovinare e implementare politiche che proibiscono l'uso di password e frasi comuni.
• Utilizza MFA su tutti gli account, richiedendo agli utenti di fornire metodi di verifica aggiuntivi oltre alla sola password.
• Rivedere regolarmente i log di autenticazione per individuare schemi insoliti, come un alto volume di tentativi di accesso falliti su più account.
• Distribuisci soluzioni di sicurezza avanzate che monitorano il comportamento degli utenti alla ricerca di segni di compromissione, come tentativi di accesso insoliti o schemi indicativi di attacchi di tipo password spraying

Attacco Rainbow Table

Le rainbow tables sono strumenti speciali utilizzati dagli hacker per scoprire rapidamente quali password si celano dietro determinati codici crittografati (hash). Quando crei una password, questa viene trasformata in un hash, che è un codice di lunghezza fissa che non assomiglia per niente alla password originale. Gli attaccanti tentano di decodificare le rainbow tables utilizzando una varietà di tecniche per ricostruire al contrario le password hashate.

Per proteggere da tali tentativi di decodifica, utilizzare algoritmi di hashing moderni e sicuri che sono progettati per essere lenti e computazionalmente intensivi. Questo rende molto più difficile per gli attaccanti generare tabelle arcobaleno. Poi continua a rimanere informato sugli avanzamenti nelle funzioni di hash crittografico e aggiorna i tuoi sistemi per utilizzare i metodi più sicuri disponibili.

Contenuti correlati selezionati:

• Come rilevare e prevenire il Session Hijacking

Attacchi alle password online vs. attacchi alle password offline

Cos'è un attacco online alle password?

Un attacco online alle password comporta il tentativo di provare varie combinazioni di username e password contro un portale di accesso nella speranza di indovinare le credenziali corrette. Solitamente sono lanciati contro individui e organizzazioni che potrebbero avere politiche di password deboli.

Esempi di attacchi online

Molti degli attacchi alle password descritti in questo articolo possono essere utilizzati in attacchi online. Questi includono forza bruta, dizionario, riempimento delle credenziali e keylogger.

Cos'è un attacco offline alle password?

Un attacco offline alle password è un metodo utilizzato dagli aggressori per ottenere accesso agli account utente decifrando gli hash delle password piuttosto che tentare di accedere direttamente a un sistema. Questo tipo di attacco si verifica tipicamente dopo che un aggressore ha già ottenuto un file di password o un database che contiene versioni hashate delle password degli utenti. Il Netwrix Attack Catalog elenca 'Pass the Hash' come un esempio prominente.

Come si differenziano gli attacchi offline e perché sono pericolosi

Ciò che rende gli attacchi offline particolarmente pericolosi è il fatto che spesso passano inosservati perché non interagiscono con il sistema bersaglio in tempo reale. Questo permette agli aggressori di operare senza sollevare allarmi, rendendo più difficile per i team di sicurezza rilevare e rispondere alla minaccia. Poiché gli attacchi offline non coinvolgono tentativi di accesso ripetuti contro un sistema attivo, i meccanismi di blocco degli account non vengono innescati. Questo consente a un attacco di procedere senza restrizioni.

Prevenire gli attacchi alle password

Le seguenti misure di protezione possono aiutare la tua organizzazione a proteggere i suoi dipendenti dagli attacchi alle password.

• Implementazione di politiche per password robuste: Il semplice atto di applicare politiche per password robuste contribuirà notevolmente a proteggere dagli attacchi alle password. Tali politiche dovrebbero richiedere agli utenti di creare password complesse, uniche e di almeno 12 caratteri che siano difficili da indovinare per gli attaccanti
• Autenticazione Multi-Fattore (MFA): MFA richiede agli utenti di fornire due o più metodi di verifica in modo che una password compromessa da sola non sia sufficiente per un attaccante per accedere a un account utente.
• Utilizzo dei gestori di password: Un gestore di password è un'applicazione locale o basata su cloud che consente agli utenti di utilizzare una password diversa per ogni account online. L'applicazione memorizza in modo sicuro queste password in una cassaforte crittografata e compila automaticamente le credenziali durante i tentativi di autenticazione.
• Opzioni di autenticazione senza password: Le opzioni di autenticazione senza password proteggono dagli attacchi alle password eliminando completamente la necessità di queste ultime, il che significa che non c'è nessuna password da intercettare o rubare tra gli utenti e il sistema di autenticazione. Esempi includono uno scanner di impronte digitali o il riconoscimento facciale.
• Controllo dell'Accesso alla Rete (NAC) e Monitoraggio: Un modo per eludere gli attacchi alle password è assicurarsi che solo dispositivi autorizzati possano accedere alla rete. Questo significa che anche se un attaccante ha le credenziali corrette, non può autenticarsi da un dispositivo non autorizzato. Il monitoraggio continuo dell'attività di rete può identificare e isolare comportamenti sospetti in tempo reale, permettendo ai team di sicurezza di rispondere rapidamente a potenziali violazioni e impedire agli attaccanti di sfruttare vulnerabilità.

Esempi reali di attacchi alle password

Case Studies di gravi violazioni dei dati

• A novembre, GoDaddy ha segnalato una violazione della sicurezza che ha colpito oltre 1,2 milioni di clienti WordPress. Un attaccante ha utilizzato una password compromessa per accedere all'ambiente di hosting WordPress gestito di GoDaddy, esponendo indirizzi email dei clienti, numeri, alcune chiavi private SSL e le password originali di amministrazione di WordPress. GoDaddy ha da allora reimpostato le password e i certificati SSL interessati.
• Nel 2023, i casinò di Las Vegas MGM Resorts e Caesars Entertainment sono stati presi di mira da attacchi ransomware che hanno sfruttato tattiche di ingegneria sociale, in particolare il vishing (phishing vocale). Gli aggressori si sono spacciati per dipendenti per ingannare il supporto IT a reimpostare le password, il che ha permesso loro l'accesso non autorizzato a sistemi critici. MGM ha subito significative interruzioni operative che hanno interessato le chiavi elettroniche degli hotel e le slot machine, stimando perdite di circa 100 milioni di dollari. Caesars ha subito una violazione del database del suo programma di fidelizzazione contenente informazioni sensibili dei clienti.
• A fine novembre 2023, un gruppo di hacker sponsorizzato dallo stato russo, Midnight Blizzard (Nobelium), ha lanciato un attacco sofisticato contro Microsoft utilizzando una tecnica di password spray. Hanno compromesso un account tenant di test non in produzione per ottenere l'accesso iniziale e stabilire una testa di ponte nei sistemi di Microsoft. Gli aggressori hanno poi avuto accesso a una piccola percentuale di account email aziendali, inclusi quelli di alta dirigenza, team di cybersecurity e legali per esfiltrare informazioni.

Lezioni apprese da questi incidenti

Questi casi studio evidenziano la persistente vulnerabilità della sicurezza delle password e sottolineano la critica necessità di procedure di verifica rigorose nei reset delle password e nei cambiamenti di accesso agli account. Data la probabilità di compromissione delle password, applicare il principio del minimo privilegio per limitare i diritti di accesso degli utenti al minimo necessario per svolgere il loro lavoro è una misura di sicurezza di supporto fondamentale. L'equipaggiamento legacy continua ad essere un problema reale e un'attenzione vigile alla patching e all'aggiornamento è imperativa. È qui anche che condurre scansioni di sicurezza regolari può identificare i punti deboli mentre un monitoraggio continuo 24/7 permette ai team IT e di sicurezza di affrontare rapidamente eventi insoliti e sospetti, formando un approccio comprensivo alla cybersecurity.

Contenuti correlati selezionati:

• Una guida alle politiche per password sicure per Active Directory

Il futuro della Password Security

L'evoluzione degli attacchi alle password

Gli attacchi alle password iniziali comportavano semplici tentativi di indovinare e attacchi dizionario, ma ora si sono evoluti in metodi automatizzati di forza bruta che provano sistematicamente tutte le combinazioni. Algoritmi avanzati di apprendimento automatico sono ora impiegati dagli aggressori per generare tentativi di password più sofisticati e probabili, aumentando l'efficienza e l'efficacia dei loro attacchi. I cybercriminali hanno ampliato i loro vettori di attacco per sfruttare le vulnerabilità nei meccanismi di reimpostazione della password per approfittare di misure di sicurezza a volte più deboli nei processi di recupero della password. Riguardo all'ingegneria sociale, i cybercriminali continuano a escogitare nuovi modi per ingannare gli utenti e far loro rivelare le password.

Tecnologie emergenti per la protezione delle password

Le tecnologie emergenti continuano a concentrarsi su metodi di autenticazione senza password che migliorano la sicurezza e allo stesso tempo semplificano il processo di autenticazione per gli utenti. Questi metodi includono l'autenticazione biometrica, gli standard FIDO2 e i token di sicurezza USB, che richiedono agli utenti di autenticarsi utilizzando dispositivi in loro possesso, come chiavi di sicurezza hardware o telefoni cellulari. Inoltre, le password monouso (OTP) inviate tramite SMS o email forniscono un'alternativa sicura e monouso che non si basa su password statiche. Adottando questi approcci innovativi, le organizzazioni possono ridurre significativamente i rischi associati ai sistemi tradizionali basati su password migliorando al contempo la comodità generale degli utenti.

Le password stanno diventando obsolete?

Non c'è dubbio che l'efficacia delle password stia diminuendo sia dal punto di vista del rischio che della gestione. In alcuni casi, le password stanno gradualmente venendo sostituite da alternative più sicure come i passkey mentre i metodi di autenticazione biometrica stanno guadagnando terreno. Nonostante i progressi fatti in questo campo, le password rimarranno ampiamente utilizzate per la loro familiarità e i numerosi sistemi legacy che ancora ne dipendono. Anche se le password in sé potrebbero non scomparire, la pratica di fare affidamento solo su di esse sembra essere in via di conclusione grazie alla MFA.

Come Netwrix può aiutare

Per mitigare i rischi associati agli attacchi tramite password, le organizzazioni necessitano di strumenti avanzati che possano monitorare, rilevare e rispondere proattivamente ad attività sospette relative alle password.

Netwrix Password Secure offre una soluzione robusta per migliorare la sicurezza delle password. Con allarmi in tempo reale, rapporti dettagliati e un'interfaccia intuitiva, consente alle organizzazioni di identificare e affrontare le vulnerabilità delle password prima che possano portare a una violazione. Imponendo politiche di password forti e garantendo la conformità agli standard del settore, Netwrix Password Secure aiuta le organizzazioni a mantenere una difesa resiliente contro le minacce relative alle password e a proteggere i loro ambienti IT.

Conclusione

Le password rappresentano una vera sfida oggigiorno e meritano l'attenzione di qualsiasi organizzazione digitale. Dovresti presumere che qualcuno là fuori stia cercando di compromettere i tuoi account online utilizzando qualche tipo di attacco alle password. Questi tipi di attacchi vengono sferrati contro le organizzazioni ogni giorno.

La buona notizia è che molti dei passaggi di prevenzione sono abbastanza semplici da implementare per la maggior parte delle organizzazioni. Richiede anche che gli utenti si assumano la responsabilità di utilizzare una buona igiene delle password e monitorare i propri account. per riconoscere che i metodi di prevenzione attuali potrebbero non salvaguardare efficacemente contro gli attacchi in evoluzione del futuro. In definitiva, quanto prima la tua organizzazione ridurrà la sua dipendenza dalle password, tanto più sarà sicura.