Come si rubano le password: caso Gmail da esempio

Come fanno gli hacker a rubare password? sono reali le liste di credenziali di accesso pubblicate online (come nel caso Gmail)

Negli ultimi giorni, sui principali giornali e blog italiani e stranieri è rimbalzata una notizia piuttosto preoccupante: 5 milioni di password Gmail pubblicate online a disposizione di chiunque.
Non è certamente questo il primo caso di furto delle credenziali che, in passato, ha coinvolto colossi come Sony e Linkedin.
Google, la compagnia numero uno del mondo per attività sul web, a riguardo ha pubblicato un post sul suo blog per fare il punto della situazione con un breve e sintetico articolo riguardante la sicurezza delle password, le cause del furto di credenziali su Gmail e l'impatto sugli utenti.
Il succo del discorso sta nel fatto che anche gli hacker più bravi dal punto di vista tecnico non possono fare molto contro i sistemi di sicurezza di aziende come Google.
Essi, quindi, agiscono in modo furbo, sfruttando l'ignoranza tecnico-informatica delle persone, la loro superficialità e disattenzione.
Nomi di login e password non vengono quindi rubati violando un sistema si sicurezza, ma sono ricavate, più o meno correttamente, combinando fonti diverse, presumendo quindi che esse siano utilizzate poi anche su Gmail o altri siti.

Google ha fatto un confronto tra le liste diffuse (con ben 5 milioni di account rubati) stimando che sono meno del 2% quelle combinazioni nome e password che accedevano veramente a un account Gmail.
In pratica chi ha rispettato le buone norme di gestione degli account online non ha rischiato nulla e solo pochi sono stati effettivamente vittime del furto di password, solo chi è venuto meno a due delle principali regole di sicurezza online: usare password troppo semplici e usare la stessa password e nome utente su tutti gli account web.

Grazie alle tecniche di ingegneria sociale diventa quindi un gioco da ragazzi rubare password per un hacker anche non troppo bravo.
Basterà violare un sito web meno famoso (e meno protetto) o semplicemente cercare liste di password su internet (facile trovarne), per mettere insieme una gran quantità di username e password che, se riutilizzati per gli account più importanti come quello di Google, Gmail, Facebook, Paypal o altri siti, diventa facile rubarli e violarli.
Gli hacker più bravi, poi, sono capaci di rubare password tramite malware o tecniche di phishing, contro cui ci si può difendere proteggendo il computer con un antivirus e stando attenti a non aprire messaggi e email da sconosciuti o con avvisi troppo strani per essere reali.

Google, nel suo articolo, tranquillizza gli utenti Gmail chiarendo che i suoi sistemi di sicurezza avrebbero comunque bloccato i tentativi di accesso che sembrano strani, ad esempio perchè provenienti da un altro paese rispetto quello del proprietario oppure per i troppi tentativi sbagliati.
In Gmail poi si possono controllare gli ultimi accessi in ogni momento, cliccando su Dettagli, in basso, al centro della pagina.
Google è uno di quei siti che usa l'autenticazione a due fattori, molto efficace contro ogni tentativo di violazione.

Io rimando alla guida su come proteggere gli account dei siti web, da leggere attentamente, per evitare brutte sorprese in futuro e per stare tranquilli nel caso ci siano altri casi del genere.
Google consiglia invece di dare un'occhiata alle impostazioni di sicurezza dell'account Gmail facendo un checkup

LEGGI ANCHE: Furti di password su internet: le 5 tecniche più usate