Quasi la metà delle password può essere indovinata in meno di un minuto

Giu 19, 2024 Approfondimenti, Hacking, Hacking, News, RSS

Quasi la metà delle password può essere compromessa in meno di un minuto: a dirlo è l’ultima ricerca di Kaspersky sulla resistenza di 193 milioni di password compromesse dagli infostealer e disponibili nella darknet.

Lo studio ha evidenziato che il 45% delle credenziali analizzate poteva essere indovinato in meno di un minuto grazie ad attacchi di brute force e smart guessing, mentre solo il 23% delle combinazioni si è rivelato abbastanza forte da volerci più di un anno per essere decifrato.

Delle restanti password, il 14% necessita da un minuto a un’ora per essere decifrato; l’8% da un’ora a un giorno; il 6% da un giorno a un mese; infine, il 4% da un mese a un anno.

La maggior parte delle combinazioni esaminate (57%) contiene una parola del dizionario, il che ne riduce significativamente la robustezza. Tra le sequenze di vocaboli più popolari ci sono nomi di persona (“Ahmed, “Nguyen”, “Kumar”, “Kevin”, “Daniel”), parole ricorrenti (“per sempre”, “amore”, “google”, “hacker”, “gamer”) e password standard (“password”, “qwerty12345”, “admin”, “12345”, “team”).

Soltanto il 19% delle credenziali esaminate contiene elementi che aumentano la robustezza della combinazione, quali lettere minuscole e maiuscole, numeri e simboli e assenza di parole standard del dizionario. In ogni caso, il 39% di queste credenziali può comunque essere indovinato con algoritmi intelligenti in meno di un’ora.

Kaspersky sottolinea che gli attaccanti non hanno bisogno di conoscenze approfondite o attrezzature costose per decifrare le credenziali: un processore di un computer portatile abbastanza potente è in grado di decifrare una password di 8 lettere minuscole o cifre usando tecniche brute force in soli 7 minuti; le moderne schede video, inoltre, possono svolgere lo stesso compito in 17 secondi.

Per indovinare le credenziali, i ricercatori hanno utilizzato il metodo brute force, l’algoritmo di punteggio avanzato zxcvbn e l’algoritmo di apprendimento smart guessing che calcola la frequenza delle combinazioni di caratteri nelle password utenti per generare prove da varianti più frequenti a quelle meno ricorrenti.

Proteggersi migliorando le policy in materia di password

Dal momento che solo nel 2023 si sono verificati più di 32 milioni di tentativi di attacco tramite password stealer (secondo la telemetria di Kaspersky), è necessario che gli utenti seguano regole precise per la definizione di combinazioni robuste.

Prima di tutto, è fondamentale utilizzare una password diversa per ogni servizio per evitare che, in caso di compromissione, venga attaccato soltanto un account. Non è necessario memorizzare tutte le credenziali: basta affidarsi a un password manager e ricordarsi solo la password principale.

Le combinazioni più sicure sono quelle con parole inaspettate e, anche se si usano parole comuni, è consigliabile disporle in ordine insolito e assicurarsi che non siano correlate. Gli esperti invitano gli utenti a non inserire nelle password informazioni personali come date di nascita, nomi di familiari o animali domestici, le combinazioni più facilmente indovinabili dagli attaccanti.

Infine, anche se non direttamente correlato alla robustezza della password, si consiglia di attivare l’autenticazione a due fattori per aggiungere un ulteriore livello di sicurezza agli account.

“Inconsciamente, gli esseri umani creano password ‘umane’ – contenenti parole del dizionario nella loro lingua madre, con nomi e numeri, ecc. Anche le combinazioni apparentemente forti sono di rado completamente casuali, quindi possono essere indovinate dagli algoritmi” ha commentato Yuliya Novikova, Head of Digital Footprint Intelligence di Kaspersky. “Di conseguenza, la soluzione più affidabile è quella di generare una password casuale utilizzando password manager moderni e affidabili. Tali applicazioni sono in grado di memorizzare in modo sicuro grandi volumi di dati, fornendo una protezione completa ed efficace delle informazioni degli utenti“.

• 2FA, attacco brute force, Kaspersky, Password, password manager, smart guessing, zxcvbn