Rubare una password? Ecco i sistemi più utilizzati dai ladri informatici

Le password degli account personali o aziendali (di posta elettronica, ma non solo) fanno gola a tutti. Al cybercrimine, prima di tutto, ma anche ad aziende, società di spionaggio industriale, mogli gelose.

Non c'è da sorprendersi, perciò, se le tecniche per rubarle siano sempre più numerose ed evolute. Se fino a qualche tempo fa si faceva ricorso soprattutto a specifiche tipologie di malware in grado di registrare ciò che veniva digitato dall’utente e trasmettere questi dati via Internet a intervalli regolari, oggi la tecnica più utilizzata dai malintenzionati è quella di violare i sistemi di salvatggio delle password per trafugarle tutte in un colpo solo. 

Tre modi per arrivare al codice

In linea di massima - spiegano gli esperti di Barracuda, società di sicurezza informatica specializzata nella protezione di reti, applicazioni e dati - i sistemi più gettonati dagli hacker per sottrarre le password sono tre:

• Phishing: i malviventi inviano mail che incoraggiano i destinatari ad aprire allegati contenenti codice malevolo.
• Impersonation: gli allegati sono presentati come documenti ufficiali, ad esempio legati alla dichiarazione dei redditi
• Aggiramento delle tecniche di riconoscimento: i cybercriminali usano tipi di file fidati come Word ed Excel per non essere individuati dal server.

Come avviene in generale per il malware, puntualizzano gli esperti di sicurezza della società americana, i ladri di password usano diversi metodi di diffusione, la maggior parte dei quali si basa su email contenenti allegati o URL.

Gli sforzi dei malintenzionati si concentrano soprattutto sulle tecniche per aggirare i sistemi di sicurezza, e in particolare i metodi più ingenui (come il blocco totale di certi tipi di file), nonché sulla capacità di rendere invisibili o comunque difficili da individuare i tentativi di furto. Ciò si traduce in una serie di tecniche che puntano a ridurre il numero di picchi di traffico da riconoscere prima che le password vengano trasferite.

Attenzione agli allegati Word ed Excel

Un sistema molto gettonato consiste nell’impiegare tipi di file fidati per aggirare i controlli a livello del server, per poi “liberare” il malware quando l’utente esegue il file. Va da sè che l'uso di documenti Word ed Excel aumenti le probabilità che il file venga aperto, considerata la familiarità che gli utenti hanno con questo tipo di file.

Documenti Office che contengono macro che scaricano il codice “rubapassword” sono piuttosto comuni e più difficili da individuare rispetto all’invio del malware puro e semplice. L’inconveniente è che la macro deve essere lanciata dall’utente finale, ma qui - sottolinea Barracuda - intervengono tecniche di social engineering che mirano a convincere l’utente ad agire.

Quel che può succedere, ad esempio, è che il criminale informatico riesca a convincere il destinatario ad aprire un allegato usando un linguaggio perentorio e un allegato con un nome che denoti una certa rilevanza o urgenza (ad esempio “modello f24”, “numero d’ordine”)

Cosa fare per difendersi

I suggerimenti degli esperti informatici per la protezione delle password sensibili sono di due tipi: comportamentali e informatici.

Dal punto di vista comportamentale i consigli vertono generalmente su alcune (buone) pratiche valide per tutti:

• Utilizzare password articolate (che prevedano lettere, numeri, simboli,  maiuscole e minuscole)
• Rinnovarle spesso (l’ideale sarebbe una volta al mese)
• Utilizzare l’autenticazione a due fattori
• Evitare di ricorrere ai sistemi di salvataggio automatico su browser o software esterni
• In campo aziendale lavorare sulla formazione del personale contro le principali minacce informatiche

Sul piano informatico, invece, è buona norma utilizzare sistemi di protezione evoluta che sappiano riconoscere in anticipo i tentativi di furto. Barracuda sottolienea tre priorità su tutte:

• Protezione antiphishing
• Link protection
• Sandboxing

Un interessante deterrente contro quasta tipologia di furto informatico può arrivare dall’intelligenza artificiale. Un motore di AI può bloccare gli attacchi di spear phishing in tempo reale e identificare i soggetti più a rischio all’interno dell’azienda.

Per saperne di più

• Tre buoni motivi per cambiare la password di iCloud
• Ashley Madison, le 30 (stupide) password più usate
• Con Open Yolo Google ci fa dimenticare le password