Sempre più spesso si sente parlare del deep web, ovvero la parte più nascosta di Internet utilizzata soprattutto per le transazioni illegali come la vendita di database contenenti credenziali e dati sensibili, trafugati attraverso attacchi hacker. Recentemente è stato individuato un unico database messo in rete da un utente con lo pseudonimo di tomasvanagas, che ha pubblicato un link contenente un miliardo e 400 milioni di nomi, email e password in chiaro, messo a disposizione di chiunque dietro una donazione in Bitcoin. Si tratta senza dubbio del più grande leak di dati personali mai registrato in Internet.
Il database ancora in circolazione unisce diversi elenchi già presenti in rete da diverso tempo, ma aggiornati a novembre 2017 con milioni di nuovi indirizzi e password in chiaro di strutture come Rai, Repubblica, la Sapienza di Roma, la Difesa, Istituti bancari, ministeri e amministrazioni pubbliche, con le stesse password che si ripetono per accedere ai social network e alla posta elettronica.
Molti di questi dati sono obsoleti e molte delle organizzazioni colpite, come la Rai, hanno da tempo ripristinato la situazione, ma ciò che rende prezioso questo elenco, più che la mole dei dati in esso contenuti, è la loro suddivisione in 1900 diversi file e la velocità con cui si ottiene ciò che interessa grazie a uno script di ricerca contenuto nel pacchetto.
Pur trattandosi di dati vecchi, ciò che preoccupa è come possono essere utilizzate queste informazioni per creare una linea guida tramite le password impiegate nel passato da cui trarre indicazioni per futuri attacchi basati sugli schemi utilizzati dagli utenti per generare nuove password. Le informazioni presenti nell’elenco sono associate alle stesse username ottenute da precedenti sottrazioni come quelle subite da Yahoo, Linkedin, Twitter, Yourporn, Myspace, eccetera, da cui si evince come il fenomeno di riutilizzare la medesima password per diversi servizi Web sia assai diffuso.
In effetti analizzando il database si nota come 9 milioni di account usano la stessa password “123456“, oltre un milione “password” e trecentomila le parole “monkey e “dragon”. Il 14% di queste credenziali d’accesso finora non erano mai state decifrate, pertanto chi le ha ottenute non si è limitato a raccogliere i dati, ma ha anche trovato il modo di decriptarle.
L’unica questione irrisolta rimane la motivazione dietro tale azione. Una delle opzioni è puramente economica dato che è la prima volta che un venditore chiede una donazione come pagamento. Opzione che però non convince gli esperti, come spiega Pierluigi Paganini, Chief Technology Officer di CSE Cybsec: “La quasi totalità dei dati è già reperibile online e quindi il loro valore è pressoché nullo per la vendita nell’ecosistema criminale. Il “collezionista” di tali dati potrebbe essere interessato ad interferire con la vendita di concorrenti o rovinare la reputazione a servizi che offrono l’accesso a pagamento dei dati.”
La concorrenza sleale è quindi una delle strade percorribili, anche se potrebbe esserci un’ipotesi peggiore. Nell’underground infatti esistono gruppi di esperti e di criminali informatici uniti che collaborano condividendo le informazioni apprese gli uni dagli altri. “In alcuni ecosistemi specifici – continua l’esperto – non è raro trovare attori che condividono informazioni e strumenti a titolo gratuito. Questo accade in collettività in cui altre motivazioni fanno da collante, ad esempio nell’ecosistema criminale medio orientale-africano la componente religiosa agevola questi fenomeni di condivisione”. E prosegue: “In altri casi ciò accade quando uno specifico attore cerca rapidamente di acquisire notorietà ed aumentare la propria reputazione in specifiche comunità”.
ESET Italia ricorda come sia fondamentale creare password complesse e differenti per ogni servizio che si utilizza, magari utilizzando un password manager, così che se una di esse dovesse essere compromessa non lo saranno anche tutte le altre.
Lascia un commento