In questo articolo Indice dei contenuti 2 sezioni
Una password 123456 è bastata per aprire le porte dell’anagrafe nazionale della Danimarca, il registro che custodisce i dati di 8,8 milioni di persone. Nessun attacco particolarmente sofisticato e nessun aiuto dall’intelligenza artificiale, che pure rende le incursioni informatiche ogni giorno più raffinate e spregiudicate. È servita soltanto la combinazione più banale e diffusa di sempre, quella che chiunque si occupi di sicurezza informatica sconsiglia da anni. Quando la protezione dei sistemi viene sottovalutata, insomma, violare una piattaforma non richiede alcuno sforzo.
Al centro della vicenda c’è il Det Centrale Personregister, conosciuto come CPR, il registro civile centralizzato dello Stato danese. Per capirne il peso basta pensare alla nostra Anpr unita al sistema di Tessera Sanitaria e Codice Fiscale. A ogni cittadino iscritto viene assegnato un codice identificativo a dieci cifre, il CPR nummer, che in Danimarca funziona come una chiave universale della vita civile. Serve per farsi riconoscere da comuni e fisco ma anche per consultare il fascicolo sanitario, aprire un conto in banca, firmare contratti telefonici o assicurativi e accedere ai servizi digitali. Chi mette le mani su nome, indirizzo e codice di una persona dispone quindi di un pacchetto prezioso per furti d’identità o truffe mirate tramite phishing.
La porta di servizio lasciata aperta
L’autore dell’incursione non ha forzato direttamente i server governativi danesi. È passato da un fornitore esterno, sfruttando un meccanismo previsto dalla legge. In Danimarca infatti oltre mille aziende private hanno l’autorizzazione per interrogare il registro CPR e la falla si nascondeva proprio in una di queste. Si tratta della Pays ApS, una piccola società di servizi informatici e gestione dati con sede a Odense, sull’isola di Fionia.
Stando alle dichiarazioni raccolte dallo stesso hacker, l’azienda aveva protetto almeno tre account aziendali con la sola password 123456, compreso un profilo da amministratore. Una volta individuata quella credenziale elementare, l’attaccante si è ritrovato con un accesso diretto e del tutto legittimo al canale di interrogazione dell’anagrafe. Ad accendere l’allarme è stata una mole impressionante di ricerche automatizzate, nell’ordine di decine di milioni, registrate nei giorni successivi alla prima intrusione. Nonostante la delicatezza delle informazioni e il valore che potrebbero avere sui mercati illegali, il responsabile ha fatto capire di non avere intenzioni malevole. Non è stato chiesto alcun riscatto e il contenuto dell’enorme database non è stato messo in vendita.
Gli italiani e le credenziali dimenticate
Anche dalle nostre parti la fantasia nella scelta delle chiavi d’accesso scarseggia. Secondo una ricerca di NordPass molte delle credenziali usate dagli italiani, sia per account aziendali sia personali, risalirebbero addirittura a decenni fa. Alcune sono state create quando i titolari erano ancora bambini. I più spericolati sarebbero i ragazzi della Gen Z, cioè i nati dal 1997 in poi, che tra tutte le generazioni risultano i meno inclini a rivedere le proprie password. Un paradosso, visto che parliamo di nativi digitali con grande familiarità con la tecnologia.
Guardando ai singoli paesi però il quadro cambia, perché gli italiani si rivelano i più propensi ad aggiornare le credenziali. Tra gli intervistati il 65% ha modificato le proprie password nell’ultimo anno, mentre il 14% degli statunitensi non ricorda nemmeno l’ultima volta in cui ha cambiato quella più vecchia. «È paradossale: cambiamo smartphone, città e abitudini, ma continuiamo ad affidare la sicurezza dei nostri account più importanti a password create 10 o 15 anni fa. Per molti, il nome di un vecchio animale domestico o una credenziale come “Summer2010” è ancora la chiave d’accesso alla posta elettronica e persino ai fondi pensione», ha spiegato Karolis Arbaciauskas, Head of Product di NordPass e della casa madre Nord Security. Secondo l’esperto la maggior parte degli utenti sa bene che una password compromessa va cambiata subito. Chi sostiene di usare la stessa combinazione da anni, a suo giudizio, si trova davanti a due sole possibilità. O quella credenziale non è mai finita in una fuga di dati oppure il proprietario non si è accorto che è stata violata, ed è la seconda ipotesi a essere di gran lunga la più probabile. Senza strumenti capaci di segnalare quando i propri dati compaiono in un leak, molte persone continuano a utilizzare chiavi d’accesso che invecchiano in silenzio mentre il rischio di compromissione cresce.
Fonte: TecnoAndroid