Password e nomi utenti finiscono sul web (mistergadget.tech)
Una notizia che fa tremare: un enorme database da ben 50 GB, contenente centinaia di migliaia di credenziali di accesso (nomi utente, email e password) di servizi tra i più famosi, è stato esposto al pubblico.
Questa “collezione” di chiavi d’accesso, che si ritiene sia opera di un malware infostealer (un software dannoso che ruba informazioni sensibili), è finita potenzialmente nelle mani sbagliate. Parliamo di 184 milioni e 163 mila credenziali per una vastissima gamma di servizi: dai provider di posta elettronica ai prodotti Microsoft, da social come Facebook, Instagram, Snapchat, Roblox, fino a portali bancari e finanziari, piattaforme sanitarie e persino portali istituzionali di diversi Paesi. Un rischio significativo per la sicurezza e la privacy di tantissime persone.
Il racconto di questa scoperta arriva da Jeremiah Fowler, un ricercatore specializzato in sicurezza informatica. Ha individuato e segnalato a Website Planet l’esistenza di un database non protetto da password o crittografia, con all’interno 184 milioni di credenziali di accesso e password di vario tipo. Il database era collegato a due domini, uno non disponibile e l’altro non registrato e quindi acquistabile. I dati del proprietario erano nascosti, rendendo impossibile identificarlo.
Password e nomi violati: tutto pubblico
Fowler ha inviato una notifica al responsabile del provider di hosting, e poco dopo l’accesso pubblico al database è stato bloccato. Non è ancora chiaro se il database sia stato utilizzato per scopi illeciti o se le credenziali siano state raccolte per fini legittimi ma esposte per errore o negligenza. Non sappiamo nemmeno per quanto tempo sia rimasto accessibile prima che Fowler lo notasse. Sebbene non ci siano certezze assolute, il ricercatore ha trovato numerosi indizi che suggeriscono l’opera di un malware infostealer, progettato proprio per raccogliere dati da sistemi infetti.
Il ricercatore ha spiegato che molte persone, inconsapevolmente, usano i propri account di posta elettronica come archivi cloud gratuiti, conservando anni di documenti sensibili come moduli fiscali, cartelle cliniche, contratti e password, senza considerare quanto siano delicate queste informazioni. Se i criminali riuscissero ad accedere a migliaia o milioni di account email, questo potrebbe creare gravi rischi per la sicurezza e la privacy.
Per ridurre davvero i rischi legati a queste situazioni, l’unica strada efficace è cambiare regolarmente le proprie password e, soprattutto, usarne una diversa per ogni servizio. Sembra un consiglio banale, ma fa una differenza enorme. Un aiuto non da poco viene anche dall’attivazione dell’autenticazione a più fattori (ora l’ha introdotta persino Whatsapp quindi è chiaro quanto sia importante), che, pur non essendo disponibile per tutti i servizi, sta diventando sempre più comune e aggiunge un ulteriore strato di sicurezza.
Il ricercatore che ha scoperto il database violato offre una panoramica chiara su come difendersi. Spesso, molte persone utilizzano un unico indirizzo email per ogni cosa – servizi finanziari, social media, app – e purtroppo fanno lo stesso con le password. Cambiarle regolarmente, magari almeno una volta all’anno, è fondamentale per evitare guai seri. È cruciale anche usare password univoche e complesse: scegliere una password semplice, magari breve e senza caratteri speciali, e usarla dappertutto è un errore grave. Le password dovrebbero essere il più complesse possibile e ogni account dovrebbe averne una diversa; per non dimenticarle, un password manager può essere di grande aiuto.
