In questo articolo Indice dei contenuti 2 sezioni
Alcuni clienti di Domino’s Pizza sono finiti nel mirino degli hacker e nei giorni scorsi hanno ricevuto una email piuttosto spiacevole. Il messaggio li informava che il loro account era stato violato da terzi non autorizzati. La catena di pizzerie statunitense, presente in oltre settanta paesi, ha però precisato fin da subito che i propri sistemi informatici non hanno subito alcuna intrusione. Gli accessi illeciti, infatti, non sarebbero partiti da una falla interna ma da un’altra parte.
Secondo l’azienda gli aggressori hanno sfruttato una tecnica nota come credential stuffing. Il meccanismo è semplice e proprio per questo efficace. Chi attacca recupera combinazioni di indirizzo email e password rubate durante violazioni avvenute su altri servizi online e prova a usarle altrove. Se il cliente ha riciclato le stesse credenziali anche per ordinare la pizza, il gioco è fatto e l’accesso al profilo diventa questione di pochi secondi.
Cosa dice la comunicazione inviata ai clienti di Domino’s
Nel testo recapitato agli utenti coinvolti, il colosso delle pizze parla di un numero molto limitato di profili compromessi. La società rassicura sul fatto che la propria sicurezza informatica non è stata scalfita e sottolinea un dettaglio non da poco. Domino’s non conserva alcun dato di pagamento, quindi nessuna informazione finanziaria sarebbe finita nelle mani sbagliate.
La mail spiega poi che la parola chiave usata per l’account Domino’s era già stata utilizzata su altri siti ed era emersa in una precedente violazione dei dati che con l’azienda non ha nulla a che fare. Un soggetto esterno l’ha impiegata per entrare nel profilo. A titolo precauzionale la catena ha reimpostato le credenziali dei clienti colpiti, che possono comunque continuare a ordinare senza problemi. Al primo accesso successivo, però, sarà necessario sceglierne di nuove passando dal link “Password dimenticata”. L’invito è quello di optare per una combinazione complessa e mai usata prima, evitando in ogni caso di riproporre quella vecchia.
L’azienda ha anche fatto sapere di aver segnalato l’episodio all’Ufficio del Garante per la protezione dei dati personali. In fondo al messaggio compare una serie di domande frequenti per chi desidera approfondire, insieme al numero del Servizio Clienti 0800 640 9071 a cui rivolgersi per qualsiasi dubbio.
Come proteggere il proprio account dagli attacchi
Per chi teme di trovarsi nella stessa situazione, i ricercatori di sicurezza hanno messo nero su bianco una serie di accorgimenti pratici. Il primo riguarda proprio l’abitudine più rischiosa. Serve una password diversa per ogni servizio, così un’eventuale fuga di dati resta circoscritta al sito in cui è avvenuta e non si trasforma in un effetto domino.
Ricordare decine di combinazioni differenti è praticamente impossibile per chiunque. Qui entra in gioco un gestore di password, strumento pensato apposta per memorizzarle tutte al posto dell’utente. Dove disponibile conviene poi attivare l’autenticazione a due fattori, che aggiunge un ulteriore livello di verifica tramite un codice ricevuto via app o SMS oppure una seconda password. In questo modo le sole credenziali rubate non bastano più per entrare.
Chi si accorge di aver riutilizzato la stessa chiave d’accesso su un profilo potenzialmente compromesso dovrebbe cambiarla subito, sia lì sia su tutti gli altri servizi in cui compare. Meglio partire dagli account che custodiscono dati di pagamento, perché sono quelli più appetibili per i malintenzionati. L’ultimo consiglio riguarda i messaggi sospetti. Non bisogna cliccare sui link contenuti in email o comunicazioni non richieste ma raggiungere direttamente il sito ufficiale o l’app del servizio.
Fonte: TecnoAndroid