Le password del governo ungherese sono finite in bella vista su archivi accessibili a chiunque, e il quadro che emerge è tutt’altro che rassicurante. Un’indagine ha documentato la diffusione di credenziali governative riconducibili a enti statali dell’Ungheria, trovate in repository pubblici e collegate a violazioni informatiche precedenti. Non si tratta di un episodio isolato: negli ultimi anni, diverse amministrazioni europee sono state coinvolte in incidenti simili, con livelli di esposizione più o meno gravi.
Il materiale recuperato include username, password in chiaro o protette con cifrature deboli e riferimenti a servizi interni dello Stato. Una buona parte di questi dati arriva dalle cosiddette combo list, cioè raccolte enormi di credenziali sottratte in attacchi passati e poi riutilizzate per tentativi di accesso automatizzati. Il fatto che account governativi compaiano in questi dataset racconta una storia precisa: c’è un problema serio di riutilizzo delle password e di politiche di sicurezza inadeguate.
Vale la pena chiarire un punto: le credenziali esposte non provengono necessariamente da un attacco diretto ai sistemi governativi. Più spesso, saltano fuori da violazioni di servizi terzi, piattaforme online, provider di posta o applicazioni usate anche per lavoro. Quando qualcuno riutilizza la stessa password su più servizi, un leak esterno può trasformarsi in una porta d’ingresso verso sistemi molto più sensibili. Nel caso specifico, i ricercatori hanno incrociato indirizzi email istituzionali con database pubblicati su forum e archivi accessibili, trovando combinazioni valide o potenzialmente riutilizzabili. Alcune credenziali risultavano ancora attive, segno evidente di una mancata rotazione o dell’assenza totale di controlli periodici.
Le debolezze strutturali dietro il problema delle password
Il nodo centrale resta sempre lo stesso, e riguarda pratiche ancora troppo diffuse: uso di password semplici, riutilizzo tra servizi diversi e assenza di meccanismi di protezione aggiuntivi. In molti casi, i sistemi non impongono requisiti stringenti e nemmeno verificano se una password è già comparsa in archivi compromessi.
Un elemento particolarmente critico è la scarsa diffusione dell’autenticazione a più fattori. Senza un secondo livello di verifica, una password compromessa può bastare per ottenere accesso completo a un sistema. E anche dove questo meccanismo esiste, spesso la configurazione è opzionale o limitata solo ad alcuni servizi.
Sul piano tecnico, la protezione delle credenziali richiederebbe l’uso di algoritmi di hashing robusti, come bcrypt o Argon2, accompagnati da salt univoci. Trovare password in chiaro o facilmente decifrabili significa che le implementazioni non sono aggiornate o che ci sono configurazioni sbagliate alla base.
Cosa comporta per la sicurezza nazionale e come si può intervenire
L’esposizione di credenziali governative non significa automaticamente che ci sia stata una compromissione attiva, ma aumenta in modo significativo la superficie di attacco. Gli attori malevoli possono sfruttare queste informazioni per campagne di credential stuffing, per accedere a sistemi interni o per orchestrare operazioni più complesse.
Negli scenari peggiori, l’accesso a caselle email istituzionali può consentire l’intercettazione di comunicazioni, il reset di password su altri servizi e la diffusione di attacchi di phishing mirati. Persino account con privilegi limitati possono diventare il punto di partenza per movimenti laterali all’interno della rete.
Per ridurre il rischio servono interventi sia tecnici che organizzativi. L’adozione obbligatoria dell’autenticazione a più fattori resta una delle misure più efficaci. Accanto a questo, è necessario implementare sistemi di monitoraggio capaci di confrontare le credenziali interne con database di leak noti, così da revocare immediatamente gli accessi compromessi. Un altro fronte riguarda la formazione degli utenti: politiche di password robuste e l’uso di gestori dedicati riducono il rischio di riutilizzo. A livello infrastrutturale, l’integrazione di sistemi di identity management e access control permette una gestione più granulare e tracciabile degli accessi.
