Una password riutilizzata tra sito personale e account di lavoro

Una fuga di dati fornisce coppie di nome utente e password. L'attaccante le prova sui servizi di accesso più comuni, tra cui gli accessi di gestione remota, le applicazioni online e la posta elettronica¹. MITRE precisa che il metodo è rischioso per l'attaccante, perché può provocare molti accessi falliti e blocchi di account, a seconda della politica dell'organizzazione¹.

La CISA racconta il caso di Emma, un racconto illustrativo senza data. Emma riceve l'avviso della sua banca per un bonifico di 700 dollari che non ha richiesto, poi scopre di non riuscire più ad aprire la posta elettronica per reimpostare la password. Aveva la stessa password su entrambi gli account, proveniente da una fuga di dati di un'azienda pubblicata online⁶.

Un account, una password. La CNIL chiede di proteggere ogni account sensibile (banca, posta elettronica, social network) con una password propria e unica, per evitare violazioni a catena⁵. La CISA raccomanda password di almeno 16 caratteri, casuali, diverse per ogni account⁶.

Usi un gestore di password. È impossibile ricordare una password robusta per ogni account, e il gestore se ne occupa: le genera, le conserva e le inserisce al Suo posto⁶. Può anche segnalare che una password è stata divulgata⁴. L'NCSC aggiunge che la compilazione automatica protegge dal phishing, perché la password compare solo sul sito giusto⁴. Resta da ricordare una sola password principale, che l'NCSC consiglia di proteggere a sua volta con l'autenticazione a due fattori⁴. Su un computer condiviso, non lasci mai che il browser memorizzi una password⁵.

Attivi l'autenticazione a due fattori. Per l'NCSC è il primo passo, perché protegge anche se la password viene sottratta con il phishing o compromessa⁴. La CISA precisa che le password robuste da sole non bastano più e che i metodi non si equivalgono: la chiave di sicurezza è il più protettivo, il codice ricevuto via SMS o e-mail il meno protettivo, da usare solo in mancanza di meglio⁷. Incoraggia inoltre i dipendenti ad attivarla sui propri account personali⁷.

Se una password può essere stata divulgata, la cambi senza attendere. L'NCSC chiede di cambiare al più presto la password della posta elettronica se è stata riutilizzata, poi di sceglierne una robusta e diversa da tutte le altre³. La CNIL si aspetta che un servizio colpito da una fuga di dati raccomandi all'utente di modificare le password degli altri servizi, se vi aveva usato la stessa⁸.

• Tenere la stessa password per l'account di lavoro e per account personali: è esattamente il caso descritto da MITRE¹. L'NCSC parla di una password che non si usa su nessun altro account, «either at home or at work»³.
• Iscriversi a un sito personale con il proprio indirizzo di lavoro. L'indirizzo fa da nome utente su molti siti, e gli elenchi di coppie circolano con questi indirizzi².
• Credere che un sito secondario non conti. Una password è valida ovunque sia stata riutilizzata, qualunque sia il sito da cui è stata divulgata¹.
• Accontentarsi di un codice via SMS o e-mail. È meglio di niente, ma è la forma più debole di autenticazione a due fattori⁷.
• Non sapere quali password sono riutilizzate. Un gestore può segnalare le password deboli o riutilizzate⁶.