8,4 miliardi di password trapelate online da precedenti attacchi informatici.

Un elenco di password online, è stato scoperto su un forum di hacker e potrebbe essere una delle più grandi raccolte di tutti i tempi. Si tratta di un file di testo da 100 GB trapelato da un utente su un popolare forum di hacker contenente 8,4 miliardi di password, probabilmente da considerarsi come la più imponente raccolta di violazioni dei dati.

In base ai commenti dell’utente, le password nella raccolta vanno da 6 a 20 caratteri con caratteri non ASCII e spazi bianchi rimossi. L’utente ha effettivamente affermato che l’elenco ha 82 miliardi di password al suo interno.

CyberNews ha confutato tale affermazione, affermando che un proprio test su questo enorme file, ha trovato circa 10 volte in meno queste informazioni, infatti la raccolta contiene circa 8,4 miliardi di tuple. Si tratta comunque di un numero consistente, soprattutto considerando che ci sono 4,7 miliardi di utenti Internet attivi in tutto il mondo.

L’utente del forum ha chiamato la raccolta RockYou2021, probabilmente il nome si collega ad una violazione dei dati di RockYou del 2009 in cui lo sviluppatore di giochi RockYou è stato colpito da un attacco che ha sfruttato un difetto di SQL injection. In questo incidente, i 32 milioni di password trapelati sono stati archiviati in un formato non crittografato, rendendo facile per gli hacker ottenerle.

La versione 2021 di RockYou contiene così tante password perché ha attinto a una serie di database trapelati in passato, inclusa la Compilation of Many Breaches (COMB), che ha rivelato più di 3,2 miliardi di coppie uniche di e-mail e password in chiaro. L’unico punto positivo è che molte di queste password potrebbero provenire da account inattivi o magari modificate, visto che si tratta di raccolte non recenti.

“Qualsiasi perdita di password di grandi volumi è sempre allarmante da sentire e dovrebbe essere presa sul serio”

ha affermato il CTO di Blue Hexagon e co-fondatore Saumitra Das.

“La nostra indagine su questo rapporto ha dimostrato che un numero piuttosto elevato di password degli account viene riciclato da precedenti violazioni e non necessariamente attivo”.

Per ora, gli utenti preoccupati per le password trapelate e altre informazioni sensibili sono invitati a intraprendere alcune semplici azioni, quali:

• Utilizza un affidabile strumento di controllo delle perdite di dati in cui puoi inserire il tuo indirizzo e-mail per scoprire se il tuo account potrebbe essere stato coinvolto in una violazione. I siti che vale la pena provare includono Have I Been Pwned, Firefox Monitor e Avast Hack Check;
• Se sai o addirittura sospetti che uno dei tuoi account sia stato coinvolto in una violazione dei dati, cambia immediatamente la password;
• utilizza un gestore di password per creare, archiviare e applicare password forti e sicure per i tuoi account online;
• Abilita l’autenticazione a più fattori su tutti gli account in cui viene offerto questo servizio.

E sebbene le password continuino a sembrare un male necessario, sono disponibili altri metodi di autenticazione più sicuri, soprattutto per le organizzazioni.

“Le aziende e gli utenti devono considerare questi sviluppi come un campanello d’allarme per porre fine alla loro eccessiva dipendenza dalle password”

ha affermato il chief revenue officer di Veridium, Rajiv Pimplaskar.

“Ora sono comunemente disponibili metodi di autenticazione senza password come il telefono come token e/o le chiavi di sicurezza FIDO2. Tali soluzioni creano una connessione non-phishing tra l’utente e il sistema IT ed eliminano la necessità di una password, riducendo così la superficie di attacco e rendere l’ambiente più resistente agli attacchi informatici”.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione