Microsoft attiva il number matching obbligatorio

Microsoft attiva il number matching obbligatorio nella sua app Authenticator

A partire da Maggio 2023, Microsoft rende obbligatorio l’utilizzo del number matching con l’applicazione Microsoft Authenticator o impostando un SMS per accedere ai suoi servizi online mediante l’autenticazione a due fattori (2MFA).

Questo meccanismo prevede che l’utente, durante la procedura di login, inserisca il codice di conferma che arriva sul proprio smartphone sull’app Authenticator o via SMS.

In cosa consiste il number matching

Nelle procedure di doppia autenticazione, con il termine number matching si intende il sistema che prevede l’invio di un codice numerico di 6 cifre da inserire durante l’accesso. Dopo aver immesso le credenziali (nome utente e password), l’utente riceve un codice numerico temporaneo sul dispositivo mobile o sul numero registrato, solo per un breve periodo di tempo (di solito alcuni minuti).

Da maggio 2023 anche Microsoft Authenticator utilizza il meccanismo number matching come impostazione obbligatoria e predefinita. La corrispondenza numerica è infatti abilitata e utilizzata per tutte le notifiche push di Authenticator. Ogni richiesta di approvazione degli accessi attraverso l’app Microsoft Authenticator passa quindi attraverso l’inserimento di un codice visualizzato sullo smartphone o via SMS.

L’importanza della 2FA per contrastare i cyber attacchi

Questa scelta di Microsoft mira a contrastare in modo più efficace i tentativi di attacco ai propri servizi di posta elettronica, limitando le frodi informatiche.

Tra questi, i multi-factor authentication (MFA) fatigue attacks. Si tratta di attacchi informatici che sfruttano la frustrazione degli utenti nel doversi sempre autenticare tramite l’utilizzo di metodi a due o più fattori. In realtà queste misure di sicurezza sono necessarie per proteggere informazioni personali e dati riservati. Tuttavia, nonostante la loro estrema importanza, alcuni utenti ritengono noiosa la procedura di autenticazione con password, token e codici di verifica.

I cybercriminali conoscono perfettamente questa situazione. Fanno dunque leva su questa per cercare di indurre le vittime a saltare o a ignorare i controlli di autenticazione a più fattori. Ad esempio, forniscono delle istruzioni fraudolente per saltare il processo o convinconno gli utenti a fornire le proprie credenziali. Una metodologia di attacco piuttosto diffusa e particolarmente efficace, utilizzata con successo anche contro alcuni dipendenti della stessa Microsoft per aggredire altre imprese come Cisco e Uber.

Per proteggersi dagli attacchi ai servizi di posta elettronica è importante comprendere l’importanza dell’utilizzo della 2FA e, soprattutto, seguire rigorosamente le procedure di autenticazione.

Esistono delle ulteriori linee di difesa. Alcune di queste prevedono la limitazione del numero di richieste di autenticazione MFA per utente, il blocco temporaneo degli account e l’invio di un avviso al team di sicurezza o all’amministratore del dominio quando si superano le soglie impostate.

Hai bisogno di un aiuto professionale per implementare la sicurezza dei tuoi device? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.

Microsoft limiterà il traffico dai server Exchange legacy

microsoft server exchange legacy

Microsoft ha confermato che a partire dal 10 Maggio 2023 limiterà il traffico dai server Exchange legacy non supportati e senza patch a causa di problemi di sicurezza. Una volta entrata in vigore, la modifica avrà un impatto sui server Exchange locali che si connettono a Exchange Online.

L’importanza degli aggiornamenti di sicurezza

“Esistono molti rischi associati all’esecuzione di software non supportati o privi di patch, ma il rischio di gran lunga maggiore è la sicurezza dei sistemi“, spiega il team di Exchange. “Quando una versione di Exchange Server non è più supportata, non riceverà più aggiornamenti di sicurezza. Eventuali vulnerabilità scoperte dopo la fine del supporto non saranno quindi risolte. Esistono dei rischi simili associati all’esecuzione di software senza patch per le vulnerabilità note.

Una volta rilasciato un aggiornamento di sicurezza, i cybercriminali eseguiranno il reverse engineering dell’aggiornamento per comprendere meglio come sfruttare la vulnerabilità sui server privi di patch.

Quali sono i server interessati dalla modifica

Questa modifica avrà effetto solo sui server locali che eseguono Exchange Server 2007 che inviano posta a Exchange Online, servizio di posta elettronica ospitato nel cloud di Microsoft in una configurazione di distribuzione ibrida.

Successivamente, verrà esteso a tutte le versioni non supportate e alle istanze persistentemente vulnerabili di Exchange Server. Microsoft descrive questi server come costantemente vulnerabili, in quanto non sono dotati di patch per vulnerabilità note. Ma anche le versioni di Exchange supportate, come Exchange 2016 ed Exchange 2019, significativamente indietro rispetto agli aggiornamenti di sicurezza, sono considerate continuamente vulnerabili. Ciò significa che anche il traffico da loro verrà presto limitato.

Una motivazione in più per passare ai servizi di Windows ospitati sul cloud.

Limitazione del traffico dai server Microsoft Exchange legacy: un passaggio obbligato

Durante gli ultimi anni è stato registrato un massiccio aumento della frequenza degli attacchi contro i server Exchange. Inoltre, un numero significativo di aziende non installa gli aggiornamenti o è molto indietro, mettendo così a rischio se stesse, i loro dati e le organizzazioni che ricevono e-mail da loro.

L’obiettivo di questa drastica scelta è dunque quello di aumentare il profilo di sicurezza dell’ecosistema Exchange.

Perché dotarsi di un server Microsoft Exchange online

Ci sono molte ragioni per cui un’azienda dovrebbe scegliere di utilizzare Microsoft Exchange Online:

  • Accesso universale: offre l’accesso alla posta elettronica, ai contatti, al calendario e ad altre funzionalità di collaborazione da qualsiasi luogo e dispositivo
  • Sicurezza: sono presenti molte funzionalità di sicurezza avanzate, come la crittografia dei messaggi, la protezione da spam e virus, il controllo degli accessi e la conformità alle normative. Ciò significa che le informazioni sensibili della tua azienda saranno sempre protette e conformi alle normative vigenti
  • Collaborazione: presenta una vasta gamma di strumenti di collaborazione, come la condivisione di calendari, contatti e documenti, la possibilità di creare gruppi di distribuzione e la messaggistica istantanea. I team possono quindi collaborare in modo più efficace
  • Integrazione: si integra perfettamente con altre soluzioni Microsoft, come Office 365 e SharePoint Online
  • Scalabilità: essendo altamente scalabile, può essere facilmente adattato alle esigenze senza dover investire in hardware o infrastrutture costose.

Microsoft Exchange Online rappresenta quindi una soluzione altamente flessibile, sicura e scalabile, che aiuta a migliorare la produttività e la collaborazione interna.

Hai bisogno di un’assistenza informatica professionale e con oltre vent’anni di esperienza? Contatta Assitech.Net, i tuoi sistemi aziendali non saranno più un problema.

Giornata mondiale delle password: come generarle in modo sicuro

giornata mondiale delle password

Se proteggi i tuoi dati, proteggi te stesso: questo è l’invito del Garante Privacy in occasione del 4 maggio, giornata mondiale dedicata alle password. Scopri i consigli degli esperti per creare delle password uniche e sicure per proteggere la tua privacy.

Il 4 maggio si celebra il World Password Day 2023, una giornata mondiale per ribadire l’importanza dell’utilizzo di password forti, ricordando che quelle compromesse sono la seconda maggiore causa di cyber attacchi, dopo le vulnerabilità non risolte.

Perché creare delle password sicure

Una password sicura è la principale barriera contro gli hacker. Per questo è estremamente importante essere in grado di creare password a prova di tutti i moderni metodi di furto.

Ecco, quindi, i passi principali da intraprendere per non cadere vittima di furto di password.

Minacce alla sicurezza delle password

Oggi i cybercriminali sfruttano delle tecnologie decisamente più sofisticate rispetto a prima per impossessarsi delle password.

Ecco alcuni dei metodi principali:

  • Tecnica del dizionario: questa prevede l’utilizzo di un programma che combina automaticamente le parole del dizionario più comuni
  • Informazioni personali su social e condivise pubblicamente: spesso gli utenti usano all’interno delle loro password nomi, date di compleanno o la squadra del cuore. La maggior parte di queste informazioni sono individuabili semplicemente attraverso un’analisi dei singoli profili social
  • Attacchi con forza bruta: si tratta di un programma automatizzato che ricrea ogni possibile combinazione di caratteri, finché non trova la password, particolarmente efficace in caso di password corte
  • Phishing: comunicazioni via mail o messaggi che fanno volutamente pressione per convincerti a dare dei soldi o delle informazioni preziose. Spesso cercano di essere credibili personificando delle organizzazioni affidabili o qualcuno che conosci nella vita reale
  • Violazioni di dati passate: queste hanno reso noto in precedenza password e altri dati sensibili. Le aziende vengono prese di mira sempre più spesso e gli hacker sfruttano questi dati online per trarne profitto. Una situazione particolarmente pericolosa nel caso in cui si riutilizzano delle vecchie password, poiché hanno maggior probabilità di essere state compromesse.

Come creare una password efficace

Per proteggere i tuoi sistemi aziendali dai più moderni metodi degli hacker, è necessario impiegare delle password davvero sicure. Ecco alcuni consigli degli esperti per crearne una a prova di attacco:

  1. Usa una password con almeno 10-12 caratteri
  2. Evita le sequenze di numeri o lettere della tastiera perché possono essere individuate nel giro di pochi secondi. Evita anche parole comuni come password1 per lo stesso motivo.
  3. La password deve contenere minuscole, maiuscole, simboli e numeri: una maggior varietà la renderà meno prevedibile
  4. Evita sostituzioni di caratteri ovvie, ad esempio lo zero “0” al posto della lettera “O”
  5. Usa parole inconsuete. Anche se utilizzi delle parole comuni, sistemale in un ordine insolito e assicurati che tra loro non ci sia alcun legame fra loro
  6. Utilizza sempre qualcosa che abbia senso per te, ma che un computer potrebbe far fatica a ricordare.
  7. Riutilizzare le password compromette più account: usane quindi una nuova per ogni differente account.

In genere, esistono due approcci nel creare password affidabili:

Il primo consiste nel generare passphrase o frasi-password, che sono basate su un mix di parole comuni non collegate fra loro e con un ordine privo di senso. Un esempio potrebbe essere M0hntaGne7Colorate!. Queste funzionano perché sono facili da ricordare e ingannano i software creati dai cybercriminali.

Un altro approccio prevede l’uso di stringhe di caratteri casuali, prive di senso e contenenti caratteri di tutti i tipi (maiuscole, minuscole, simboli e numeri), come P8$*t&9a2#m@n!. La loro forza consiste nella loro impossibilità di essere scoperte o indovinate e possono essere ricordate con dei semplici trucchi mnemonici.

Come ricordare le password

Con così tante password uniche, dovrai prestare particolare attenzione anche alla loro conservazione.

Evita quindi di scriverle su carta, salvarle nelle app degli appunti del telefono o utilizzare la funzione di riempimento automatico del browser.

Impiega invece i seguenti metodi:

Attiva l’autenticazione a due fattori su tutti gli account più importanti. Questo controllo di sicurezza aggiuntivo si avvale di un supporto a cui hai accesso, come e-mail, messaggio di testo, dati biometrici (es: impronta digitale o riconoscimento facciale), o una chiavetta USB di sicurezza.

Aggiorna spesso le password più importanti, modificandole completamente.

Ricorda che se una password è comoda per te, lo è probabilmente anche per gli hacker: per questo la giornata mondiale delle password è importante per ribadire l’importanza di proteggere adeguatamente i tuoi dispositivi.

Hai bisogno di un aiuto professionale per aumentare la sicurezza informatica nella tua azienda? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.