Laurence CadieuxPensi a cosa potrebbe fare in meno di un secondo. Battere le palpebre. Tossire. Spegnere la radio perché è partita QUELLA canzone particolarmente irritante. Sì, proprio QUELLA.
Ebbene, se fosse un hacker, potrebbe aggiungere un altro traguardo alla sua lista in un secondo o meno: potrebbe violare una qualsiasi delle 10 peggiori password del 2023.
Per il quinto anno consecutivo, il fornitore di software per la gestione delle password NordPass ha collaborato con ricercatori indipendenti di sicurezza informatica per analizzare un database di 4,3 TB contenente milioni di password di utenti provenienti da 35 paesi. Le password sono state estratte da diverse fonti pubblicamente disponibili, incluso il dark web.
Cosa hanno scoperto? Si prepari, perché quanto emerso non è soltanto inquietante: le password più diffuse del 2023 sono così clamorosamente inadeguate e terribili da sembrare irreali.
Ecco un riepilogo delle 10 password più utilizzate quest’anno, insieme al tempo tipico impiegato dagli hacker per violarle:
| Posizione | Password | Tempo di violazione |
|---|---|---|
| 1 | 123456 | Meno di 1 secondo |
| 2 | Admin (nota: si tratta di una password predefinita comune che molti utenti non si preoccupano di cambiare, con grande gioia degli hacker) | Meno di 1 secondo |
| 3 | 12345678 | Meno di 1 secondo |
| 4 | 123456789 | Meno di 1 secondo |
| 5 | 1234 | Meno di 1 secondo |
| 6 | 12345 | Meno di 1 secondo |
| 7 | password | Meno di 1 secondo |
| 8 | 123 | Meno di 1 secondo |
| 9 | Aa123456 | Meno di 1 secondo |
| 10 | 1234567890 | Meno di 1 secondo |
Le altre 190 password più diffuse del 2023 confermano questa tendenza allarmante. Ad esempio, “10203” si posiziona al #120, “password123” raggiunge il #142, e la tradizionale favorita a 8 caratteri “aaaaaaaa” compare al #196. Tutte e tre queste aberrazioni in fatto di credenziali richiedono meno di un secondo per essere violate.
“Ma aspetta”, starà pensando, “di certo ci saranno almeno alcune password tra le prime 200 che richiedono più di un secondo per essere violate, no?” Ha perfettamente ragione. Ecco la 175ª password più diffusa, “Aa102030”, che richiede la bellezza di 10 secondi per essere violata. E non dimentichiamo la relativamente più complessa “user1234” (#188 in classifica), che costringe gli hacker a impiegare ben 41 secondi per smontarla.
Non è TUTTO negativo (solo per la maggior parte)
Se è un professionista InfoSec che sta disperatamente cercando su Google un altro pianeta su cui vivere — uno che, quantomeno, costringa gli hacker a impiegare più tempo a bersi un caffè che a violare la maggior parte delle password — non faccia ancora le valigie. Ci sono alcune voci tra le prime 200 che meritano davvero il nome di password. Ad esempio:
- vodafone (classifica: #113; tempo di violazione: 3 ore)
- Kumar@123 (classifica: #127; tempo di violazione: 3 ore)
- theworldisinyourhand (classifica: #173; tempo di violazione: secoli)
(A proposito, se ha un amico di nome Kumar che non è molto esperto di sicurezza informatica, questo sarebbe un buon momento per avvisarlo che, se fa parte del club #127, potrebbe trovarsi a sole 3 ore di distanza da un incubo lungo e costoso.)
Di certo i dirigenti aziendali non contribuiscono a tutto questo… Vero?
Sbagliato! Uno studio separato ha rilevato che i dirigenti aziendali di alto livello e i proprietari di aziende tendono a utilizzare password deboli e facili da violare, il che aumenta significativamente le probabilità di una violazione di dati su larga scala. Ad esempio, tra i CEO le 10 password più comuni sono risultate essere:
- 123456
- Password
- 12345
- 123456789
- qwerty
- 1234
- qwerty123
- 1q2w3e
- 111111
- 12345678
Le sembrano familiari? Non dia tutta la colpa agli stagisti volenterosi (e terrorizzati) appena arrivati. Anche molti leader navigati sbagliano completamente l’approccio alle password.
Cosa possiamo fare?
Alcuni problemi nella vita sono estremamente difficili. Disfarsi di un anello onnipotente a Mordor? Difficile. Far saltare in aria una Morte Nera? Complicato. Impedire ai Borg di assimilarla? 0/10, non consigliato.
Tuttavia, alcuni problemi sono facili — almeno rispetto ad affrontare Sauron, il Lato Oscuro o i Borg. E trasformare le password da vulnerabilità a punto di forza è uno di questi. In sostanza, ecco cosa dovrebbero fare tutte le aziende, comprese le piccole e medie imprese (PMI) che oggi sono sotto assedio da parte degli hacker:
- Utilizzi 2FA/MFA
- Utilizzi passphrase anziché password: sono lunghe e uniche, ma più facili da ricordare per gli utenti finali.
- Utilizzi un gestore di password affidabile e di buona qualità. Tuttavia, non dia per scontato che si tratti di una soluzione di sicurezza completa (vedi consiglio successivo).
- Implementi il PAM e applichi l’accesso just-in-time per gli account privilegiati. Ricordi: i gestori di password autonomi sono essenzialmente strumenti di continuità operativa — e NON soluzioni di sicurezza — perché mancano di funzioni come: iniezione sicura delle credenziali, individuazione degli account, rotazione automatica delle password, avvisi e notifiche, e un processo di approvazione delle richieste di checkout. Per saperne di più, consulti se ha bisogno solo di un gestore di password.
- Confronti tutte le potenziali password con un elenco di password deboli e compromesse note (secondo il NIST; vedi SP-800-63B Sezione 5.1.1.2 paragrafo 5).
- Cambi immediatamente le password in caso di evidenza di compromissione (secondo il NIST; vedi SP-800-63B Sezione 5.1.1.2 paragrafo 9).
- Applichi una policy di cronologia delle password per impedire agli utenti finali di riutilizzare vecchie password (il Center for Internet Security consiglia di impostare questo valore su 24 o più; vedi sezione 1.1.1).
- Consenta agli utenti finali di copiare e incollare le password — altrimenti è probabile che utilizzino password semplici, brevi e facili da ricordare (secondo il NIST; vedi SP 800-63b sezione 5.1.1.2).
- Fornisca agli utenti finali una formazione sulla sicurezza informatica (vedi sotto).
Il valore della formazione sulla sicurezza informatica
Per sottolineare quest’ultimo consiglio, torniamo al tentativo di violazione di Reddit avvenuto all’inizio di quest’anno. Gli hacker hanno inviato messaggi dall’aspetto credibile che indirizzavano i dipendenti verso un sito web che imitava il comportamento del gateway intranet dell’azienda. Purtroppo, un dipendente è caduto nella trappola. Questa è la cattiva notizia.
La buona notizia è che, avendo ricevuto una formazione sulla sicurezza informatica, quel dipendente ha riconosciuto immediatamente l’errore e lo ha segnalato di conseguenza. La sua rapida decisione ha svolto un ruolo chiave nel contenere l’attacco e mitigarne i danni. Senza un’adeguata formazione sulla sicurezza informatica, la situazione sarebbe probabilmente peggiorata di molto.
L’ultima parola
Tecnicamente, non esiste un modo assoluto e garantito al 100% per impedire agli hacker di violare le password. Tuttavia, esistono metodi pratici e collaudati per rendere il loro lavoro molto, molto più difficile. E va detto che gli hacker sono generalmente persone pragmatiche. Se un attacco richiede troppo tempo, troppo impegno o troppo denaro, in genere si limitano a passare a un altro bersaglio. Non cercano emozioni forti. Sono interessati a commettere furti d’identità — e quanto più veloce e semplice è farlo, tanto meglio.
Condivida le sue esperienze e i suoi consigli
Nel suo percorso come professionista IT, per quanto riguarda la gestione delle password (o, in alcuni casi, la loro cattiva gestione), ha visto il bello, il brutto e il cattivo. La preghiamo di condividere le sue esperienze e i suoi consigli con la community. Cos’altro dovrebbero fare le aziende e gli utenti finali per ridurre i rischi? E come ha visto cambiare le cose — in positivo e in negativo — nel corso degli anni? La sua opinione conta, e la sua saggezza e i suoi avvertimenti potrebbero fare un’enorme differenza.
E quindi, se non lo ha già fatto nella sua azienda, metta in pratica questi consigli per la protezione delle password il prima possibile. Vuole assicurarsi che tutti — dirigenti compresi — smettano definitivamente di scegliere password sbalorditivamente deboli (a voi, amanti di “12345” e “aaaaaaaa”, ci riferiamo proprio a voi!).