introduzione

Le persone si lamentano del fatto che i loro account Internet vengano "hackerati", ma come avviene? Gli account vengono violati con metodi piuttosto semplici; gli aggressori non usano la magia oscura.

Il potere viene dalla conoscenza. Capire come vengono compromessi gli account ti aiuterà a proteggere i tuoi account e prevenire che le tue password vengano "hackerate" in primo luogo.

Riutilizzo delle password, in particolare delle password trapelate

Molte persone, se non la maggioranza, ripetono le password su molti account. Alcune persone possono persino utilizzare la stessa password per tutti i loro account. Questo è estremamente rischioso. Molte aziende, inclusi nomi noti come LinkedIn ed eHarmony, hanno subito negli ultimi anni i loro database di password compromessi. I database online contenenti password, nomi utente e indirizzi e-mail trapelati sono ampiamente disponibili. Gli aggressori possono utilizzare queste combinazioni di indirizzo e-mail, nome utente e password per accedere a molti account su altri siti Web.

Riutilizzare una password per il tuo account e-mail ti mette ancora più in pericolo, poiché un utente malintenzionato potrebbe utilizzare il tuo account e-mail per reimpostare tutte le altre password se ottengono l'accesso ad esso.

Non hai alcuna influenza sull'efficacia con cui i servizi che utilizzi salvaguardano le tue credenziali, non importa quanto tu sia esperto nel proteggerle. Se riutilizzi le password e un provider commette un errore, tutti i tuoi account sono in pericolo. Dovresti utilizzare password separate per ciascun sito: un gestore di password potrebbe aiutarti in questo.

Keylogger

I keylogger sono programmi dannosi che possono funzionare in background e registrare ogni sequenza di tasti eseguita. Vengono spesso utilizzati per ottenere informazioni sensibili come numeri di carte di credito, password di Internet banking e altre credenziali dell'account. Successivamente trasmettono queste informazioni a un utente malintenzionato tramite Internet.

Tale malware può infiltrarsi tramite vulnerabilità; ad esempio, se stai utilizzando una vecchia versione di Java, come fa la maggior parte dei computer su Internet, puoi essere compromesso tramite un'applet Java su una pagina web. Possono, tuttavia, essere nascosti in altre applicazioni. Ad esempio, potresti scaricare un programma di terze parti per un gioco online. Il programma potrebbe essere dannoso e raccogliere la password del gioco e trasferirla all'attaccante tramite Internet.

Usa una buona applicazione antivirus, mantieni aggiornato il tuo software ed evita di installare software sospetto.

Ingegneria sociale

Gli aggressori utilizzano spesso tecniche di social engineering per accedere ai tuoi account.

Il phishing è una tecnica ben nota di ingegneria sociale in cui l'attaccante si spaccia per qualcuno e richiede la tua password. Alcune persone forniscono liberamente le loro password. Di seguito sono riportati alcuni esempi di ingegneria sociale:

• Ricevi un'e-mail che pretende di provenire dalla tua banca, che ti invia a un sito Web di una banca fasulla con un URL dall'aspetto molto simile e richiede la tua password.
• Ricevi un messaggio su Facebook o su un altro sito di social network da una persona che afferma di essere un account Facebook ufficiale, chiedendoti di fornire la tua password per autenticarti.
• Vai a un sito Web che afferma di fornirti qualcosa di utile, come giochi Steam gratuiti o oro gratuito di World of Warcraft. Il sito Web richiede il tuo login e password per il servizio al fine di ottenere questo incentivo fasullo.

Non aprire collegamenti nelle e-mail per accedere al sito Web della tua banca, non fornire la tua password a nessuno che si avvicini a te e lo desideri e non fornire le informazioni del tuo account a siti Web non affidabili, in particolare quelli che sembrano troppo belli per essere veri .

Rispondere alle domande di sicurezza

Spesso, le password possono essere reimpostate rispondendo alle domande di sicurezza. Le domande di sicurezza sono spesso piuttosto semplici, come "Dove sei nato?" "Che liceo hai frequentato?" e "Qual era il nome da nubile di tua madre?" Queste informazioni sono spesso disponibili su siti di social network accessibili al pubblico e la maggior parte delle persone normali ti dirà quale scuola superiore hanno frequentato se richiesto. Gli aggressori possono spesso modificare le password e ottenere l'accesso agli account utilizzando queste informazioni facilmente ottenibili.

Idealmente, dovresti utilizzare domande di sicurezza con risposte difficili da trovare o indovinare. I siti Web dovrebbero anche vietare a qualcuno di accedere a un account solo perché conosce le risposte ad alcune domande di sicurezza, cosa che alcuni fanno, ma altri no.

Ripristino di account e-mail e password

Se un utente malintenzionato utilizza uno dei modi sopra elencati per acquisire l'accesso ai tuoi account di posta elettronica, sei molto più in pericolo. Nella maggior parte dei casi, il tuo account e-mail funge da account Internet principale. Tutti gli altri tuoi account sono collegati ad esso e chiunque abbia accesso all'account e-mail potrebbe usarlo per modificare le tue password su uno qualsiasi dei siti a cui ti sei registrato con l'indirizzo e-mail.

Di conseguenza, dovresti mantenere il tuo account di posta elettronica il più sicuro possibile. È estremamente critico utilizzare una password univoca per questo e tenerlo al sicuro.

Cosa non è "hacking" delle password

La maggior parte delle persone prevede che gli aggressori tenteranno ogni potenziale password per ottenere l'accesso al proprio account Internet. Questo non accadrà. Se tenti di accedere all'account Internet di qualcuno e continui a indovinare le password, verrai rallentato e ti verrà impedito di tentare più di alcune password.

Se un utente malintenzionato è stato in grado di accedere a un account online solo indovinando le password, molto probabilmente la password era qualcosa di semplice che poteva essere indovinato ai primi tentativi, come "password" o il nome dell'animale domestico della persona.

Tali tecniche di forza bruta potevano essere utilizzate dagli aggressori solo se avevano accesso locale ai tuoi dati, ad esempio se tenevi un file crittografato nel tuo account Dropbox e gli aggressori ottenevano l'accesso e scaricavano il file crittografato. Potrebbero quindi tentare di forzare la crittografia, tentando efficacemente ogni possibile combinazione di password fino a quando una di esse non ha funzionato.

Le persone che affermano che i loro account sono stati "hackerati" sono più frequentemente colpevoli di riutilizzare password, installare un key logger o consegnare le proprie credenziali a un utente malintenzionato dopo essere caduto vittima di metodi di ingegneria sociale. Potrebbero essere stati potenzialmente violati a causa di domande di sicurezza prontamente note.

Sarà difficile "hackerare" i tuoi account se adotti procedure di sicurezza di base.

Anche l'utilizzo dell'autenticazione a due fattori può essere d'aiuto: un utente malintenzionato avrà bisogno di più della tua password per ottenere l'accesso.