{"id":12791,"date":"2019-10-02T07:30:45","date_gmt":"2019-10-02T05:30:45","guid":{"rendered":"http:\/\/www.unilab.eu\/?p=12791"},"modified":"2019-10-01T17:13:49","modified_gmt":"2019-10-01T15:13:49","slug":"credential-stuffing","status":"publish","type":"post","link":"https:\/\/www.unilab.eu\/it\/articoli\/coffee-break-it\/credential-stuffing\/","title":{"rendered":"Credential Stuffing: impossibile difendersi, se non si cambia (password)"},"content":{"rendered":"<p>Il <strong>credential stuffing<\/strong> \u00e8 un particolare tipo di attacco informatico, il cui obiettivo \u00e8 il furto di account sfruttando la vulnerabilit\u00e0 delle passoword ripetute. Il fenomeno \u00e8 in crescita negli ultimi anni e sta arrecando parecchi danni a moltissime aziende di svariati settori, in particolare quello finanziario.<\/p>\n<p><strong>Come funziona il credential stuffing<\/strong><\/p>\n<p>Sul dark web circolano, ormai da diverso tempo, intere liste di nomi utenti, e-mail e password trafugati sfruttando brecce nei database di vari portali. Quello che rende il credential stuffing veramente pericoloso, \u00e8 la pessima abitudine (comune a molti internauti) di <strong>usare la medesima password<\/strong> su diversi siti internet.<\/p>\n<p>Il funzionamento di questo tipo di attacco informatico, infatti, si basa sul <strong>mandare richieste di accesso<\/strong> a diversi portali, sfruttando le credenziali presenti nelle liste sopra citate. In questo modo i cybercriminali (qualora riscontrassero una corrispondenza) potrebbero accedere facilmente a dati sensibili, foto private, conti bancari e via discorrendo.<\/p>\n<p>Tramite l\u2019<strong>impiego di bot <\/strong>preparati ad arte, i malintenzionati riescono a interrogare migliaia di siti contemporaneamente, assicurandosi cos\u00ec una notevole copertura. Le possibilit\u00e0 di una corrispondenza aumentano esponenzialmente in base a quante volte la vittima ha utilizzato la medesima password per autenticare i propri accessi su diversi portali.<\/p>\n<p><strong>I danni del credential stuffing inflitti alle aziende <\/strong><\/p>\n<p>Non sono solo i privati a pagare <strong>pesanti conseguenze<\/strong> durante un attacco di credential stuffing, ma sono soprattutto le grosse aziende le vittime preferite dai cybercriminali. Alcuni recenti studi hanno portato alla luce dati preoccupanti che rivelano un netto aumento di questo fenomeno.<\/p>\n<p>Secondo le stime, ogni azienda subisce in media <strong>11 attacchi al mese<\/strong> di questo tipo, che hanno per obiettivo circa 1041 account. Il vero problema, per\u00f2, sono i danni economici causati dai suddetti tentativi di violazione.<\/p>\n<p>I prolungati downtime delle applicazioni, il coinvolgimento dell\u2019infrastruttura di sicurezza e la perdita di clienti, costano alle grandi societ\u00e0 <strong>4 milioni di euro annui<\/strong>, a cui vanno aggiunti anche i danni causati dalle eventuali frodi commesse con gli account violati.<\/p>\n<p>Cifre importanti che possono esplicare concretamente la <strong>gravit\u00e0 del problema<\/strong> e l\u2019assoluta necessit\u00e0 di un repentino intervento per migliorare la sicurezza di utenti e aziende.<\/p>\n<p><strong>Come difendersi dal credential stuffing<\/strong><\/p>\n<p>Sventare la minaccia del credential stuffing \u00e8 possibile, ma richiede che la difesa da questi attacchi informatici venga <strong>fatta su due fronti<\/strong>: quello privato (singolo utente) e quello pubblico (cybersecurity per le aziende).<\/p>\n<p>Per quanto riguarda il fronte privato, \u00e8 necessario <strong>educare chi fruisce di internet<\/strong> alle pratiche di sicurezza basilari. Fra queste le pi\u00f9 importanti sono: il cambio regolare della password e il non utilizzare gli stessi dati per gli accessi a diversi siti.<\/p>\n<p>Laddove fosse possibile, conviene anche optare per l\u2019<strong>autenticazione a due fattori<\/strong>: una recente misura di sicurezza extra, che permette di loggare solo previa conferma dell\u2019operazione da altro dispositivo (solitamente lo smartphone).<\/p>\n<p>Le aziende, invece, dovrebbero lavorare alacremente sull\u2019<strong>infrastruttura dei loro portali web<\/strong>. Secondo alcuni dati, infatti, ogni societ\u00e0 avrebbe una media di 26 punti d\u2019accesso per gli utenti, che possono essere sfruttati allo stesso modo dai bot.<\/p>\n<p>Anche il non <strong>differenziare le credenziali d\u2019accesso<\/strong> sui vari dispositivi da cui ci si collega (pc fisso, smartphone, app mobile o terze parti) pu\u00f2 costituire una vulnerabilit\u00e0 da non sottovalutare.<\/p>\n<p>Alcune recenti tecnologie sono in grado di <strong>riconoscere e classificare il comportamento dei bot<\/strong>, distinguendolo da quello umano. Naturalmente il costo per dotarsi di tali protezioni \u00e8 elevato, ma potrebbe fare davvero la differenza contro il credential stuffing.<\/p>\n<!--themify_builder_content-->\n<div id=\"themify_builder_content-12791\" data-postid=\"12791\" class=\"themify_builder_content themify_builder_content-12791 themify_builder tf_clear\">\n    <\/div>\n<!--\/themify_builder_content-->\n","protected":false},"excerpt":{"rendered":"<p>Il credential stuffing \u00e8 un particolare tipo di attacco informatico, il cui obiettivo \u00e8 il furto di account sfruttando la vulnerabilit\u00e0 delle passoword ripetute. Il fenomeno \u00e8 in crescita negli ultimi anni e sta arrecando parecchi danni a moltissime aziende di svariati settori, in particolare quello finanziario.<\/p>\n","protected":false},"author":10,"featured_media":12799,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"Il credential stuffing \u00e8 un particolare tipo di attacco informatico, il cui obiettivo \u00e8 il furto di account sfruttando la vulnerabilit\u00e0 delle passoword ripetute. Il fenomeno \u00e8 in crescita negli ultimi anni e sta arrecando parecchi danni a moltissime aziende di svariati settori, in particolare quello finanziario.","_seopress_robots_index":"","footnotes":""},"categories":[46],"tags":[],"class_list":["post-12791","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-coffee-break-it","has-post-title","has-post-date","has-post-category","has-post-tag","has-post-comment","has-post-author",""],"builder_content":"","_links":{"self":[{"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/posts\/12791","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/comments?post=12791"}],"version-history":[{"count":0,"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/posts\/12791\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/media\/12799"}],"wp:attachment":[{"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/media?parent=12791"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/categories?post=12791"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.unilab.eu\/it\/wp-json\/wp\/v2\/tags?post=12791"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}