Dopo il file corrotto che ferma gli aerei, “Password-1234” è la più popolare nel dipartimento degli interni USA

L’ispettore generale del Dipartimento degli interni degli Stati Uniti ha verificato la sicurezza dei sistemi e delle politiche di gestione delle password utilizzati dall’agenzia. 

Come ha mostrato il rapporto, in soli 90 minuti sono stati violati gli account di 14mila dipendenti e “Password-1234” si è rivelata la password più popolare.

Per testare il sistema di sicurezza, sono stati forniti agli auditor gli hash delle password di 85.944 account dei dipendenti in Active Directory. 

Gli esperti hanno quindi tentato di decifrare queste password utilizzando un database di 1,5 miliardi di parole che includeva: dizionari di diverse lingue, terminologia del governo degli Stati Uniti, riferimenti alla cultura pop, password pubbliche da perdite passate e scorciatoie da tastiera come QWERTY.

Nei primi 90 minuti di test, i revisori hanno decifrato gli hash del 16% (14.000) degli account utente del dipartimento. Gli esperti hanno continuato a controllare il database delle password per 8 settimane e durante questo periodo hanno rivelato altre 4.200 password.

In totale, 18.174 (circa il 21%) degli 85.944 hash crittografici verificati sono stati craccati. Inoltre, 288 degli account interessati avevano privilegi elevati e 362 appartenevano a funzionari governativi di alto rango.

Tra le password recuperate più popolari c’erano

• Password-1234 (478 account); 
• Br0nc0$2012 (389 account); 
• Password123$ (318 account); 
• Password1234 (274 account); 
• Summer3rDom2020! (191 conti); 
• 0rlando_0000 (160 account); 
• Password1234! (150 conti); 
• ChangeIt123 (140 account); 
• 1234password$ (138 account); 
• ChangeItN0w! (130 conti).

Secondo quanto riferito, gli esperti hanno speso 15.000 dollari per creare un impianto di cracking delle password utilizzando schede di accelerazione hardware “a scaffale”.

Un fatto interessante è che il 99,9% delle password crackate soddisfaceva formalmente i requisiti di sicurezza: avevano una lunghezza di almeno 12 caratteri e contenevano 3 dei 4 tipi di caratteri richiesti: lettere minuscole e maiuscole, numeri e caratteri speciali, ma risultavano “predicibili banali”.

Di conseguenza, l’autorità di regolamentazione statale ha formulato raccomandazioni al servizio IT del Dipartimento degli interni degli Stati Uniti per rafforzare i requisiti per le regole per la compilazione delle password, controllarne tempestivamente la data di scadenza e implementare l’autenticazione a più fattori. 

Si è scoperto che solo l’11% degli utenti lo utilizzava.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione