Cinque domande sulla fuga di notizie di 16 miliardi di ID e password di Apple, Google e Telegram

Un'enorme quantità di dati privati ​​è finita nelle mani inconsapevoli di criminali informatici. Dall'inizio dell'anno, 16 miliardi di nomi utente e password sono stati rubati e resi pubblici online, hanno rivelato giovedì 19 giugno i ricercatori della testata giornalistica specializzata in sicurezza informatica Cybernews. Queste informazioni sensibili, se utilizzate in modo improprio, potrebbero avere conseguenze drammatiche per i loro proprietari. Libération fa il punto della situazione in cinque domande.

Si tratta principalmente di credenziali di accesso e password utilizzate per accedere ad Apple, Google, Telegram e siti web aziendali. Ancora più grave, alcuni dati sarebbero utilizzati per accedere ai servizi governativi. Questi 16 miliardi di dati sono distribuiti in 30 grandi set di dati rubati, identificati dai ricercatori dall'inizio dell'anno. Ogni file contiene da decine di milioni a diversi miliardi di informazioni. Il più grande ne contiene 3,5 miliardi, principalmente relativi a popolazioni di lingua portoghese.

Cybernews, tuttavia, sottolinea che è difficile stimare il numero effettivo delle vittime: sono stati identificati dei duplicati nelle informazioni di accesso elencate.

Dietro questo caso ci sono diversi criminali informatici? È difficile dirlo. Tuttavia, si può affermare con certezza che l'enorme quantità di dati non sia stata accumulata in un solo giorno attraverso una singola fuga di dati di massa . Questa montagna di dati rubati si è accumulata nel tempo, grazie a vari programmi malware attivi sui social media o sulle piattaforme aziendali delle vittime.

Questi infostealer — questo è il loro nome — sono specializzati nel furto di dati. A differenza del vistoso ransomware (un virus che blocca l'accesso ai dati dell'utente in cambio di una somma di denaro), l' infostealer mantiene un basso profilo. Spesso scaricato accidentalmente tramite un allegato email corrotto o un link ingannevole, si nasconde nell'ombra, registrando le informazioni di accesso della vittima per condividerle con il mittente.

Cominciamo con la buona notizia. I 16 miliardi di nomi utente e password raccolti sono stati resi pubblici online solo per un periodo di tempo molto breve. La cattiva notizia: sono ancora nelle mani dei loro ladri.

Estorsione tramite ransomware, campagne di phishing altamente mirate, furto di account... Utilizzando queste informazioni, un criminale informatico può orchestrare una vasta gamma di operazioni. Accedendo a determinati account, può raccogliere nuovi dati, ancora più sensibili. Se usate correttamente, queste informazioni potrebbero benissimo consentire loro di accedere a determinati conti bancari. O rendere possibile l'hacking di un'azienda . Questa "non è semplicemente una fuga di dati, ma una base operativa per uno sfruttamento su larga scala", avvertono i ricercatori di Cybernews .

Online, alcuni strumenti ti permettono di scoprire se i tuoi dati sono stati rubati. Un esempio è il sito web " Have I Been Pwned ". Su quest'ultimo, inserisci semplicemente il tuo indirizzo email. Ci sono due possibilità: se è verde, è tutto a posto. I tuoi dati sono stati salvati. Se è rosso, la tua email è effettivamente trapelata. La piattaforma identifica per te gli eventi responsabili della fuga di dati.

Tuttavia, data la natura recente del caso, è possibile che il sito web "Have I been pwned" non abbia ancora identificato gli account interessati.

Dal punto di vista aziendale, sarà necessario consolidare la fortezza. "Questi dati sono particolarmente pericolosi per le organizzazioni che non dispongono né di un sistema di autenticazione a più fattori né di una buona igiene dell'autenticazione", avvertono gli specialisti. È quindi consigliabile che queste ultime aggiungano un passaggio al processo di accesso di un utente al proprio account. Oltre al classico "nome utente + password" , ad esempio, potrebbe essere richiesto di inserire un codice ricevuto via SMS.

Di default, si consiglia di cambiare regolarmente le password. Non usare quelle vecchie, anche se la tentazione è forte. E, quando possibile, abilitare l'autenticazione a due fattori sui siti che la offrono. Anche se i secondi di attesa per ricevere un codice via SMS sembrano un'eternità.