Giornata mondiale delle password: come generarle in modo sicuro

giornata mondiale delle password

Se proteggi i tuoi dati, proteggi te stesso: questo è l’invito del Garante Privacy in occasione del 4 maggio, giornata mondiale dedicata alle password. Scopri i consigli degli esperti per creare delle password uniche e sicure per proteggere la tua privacy.

Il 4 maggio si celebra il World Password Day 2023, una giornata mondiale per ribadire l’importanza dell’utilizzo di password forti, ricordando che quelle compromesse sono la seconda maggiore causa di cyber attacchi, dopo le vulnerabilità non risolte.

Perché creare delle password sicure

Una password sicura è la principale barriera contro gli hacker. Per questo è estremamente importante essere in grado di creare password a prova di tutti i moderni metodi di furto.

Ecco, quindi, i passi principali da intraprendere per non cadere vittima di furto di password.

Minacce alla sicurezza delle password

Oggi i cybercriminali sfruttano delle tecnologie decisamente più sofisticate rispetto a prima per impossessarsi delle password.

Ecco alcuni dei metodi principali:

  • Tecnica del dizionario: questa prevede l’utilizzo di un programma che combina automaticamente le parole del dizionario più comuni
  • Informazioni personali su social e condivise pubblicamente: spesso gli utenti usano all’interno delle loro password nomi, date di compleanno o la squadra del cuore. La maggior parte di queste informazioni sono individuabili semplicemente attraverso un’analisi dei singoli profili social
  • Attacchi con forza bruta: si tratta di un programma automatizzato che ricrea ogni possibile combinazione di caratteri, finché non trova la password, particolarmente efficace in caso di password corte
  • Phishing: comunicazioni via mail o messaggi che fanno volutamente pressione per convincerti a dare dei soldi o delle informazioni preziose. Spesso cercano di essere credibili personificando delle organizzazioni affidabili o qualcuno che conosci nella vita reale
  • Violazioni di dati passate: queste hanno reso noto in precedenza password e altri dati sensibili. Le aziende vengono prese di mira sempre più spesso e gli hacker sfruttano questi dati online per trarne profitto. Una situazione particolarmente pericolosa nel caso in cui si riutilizzano delle vecchie password, poiché hanno maggior probabilità di essere state compromesse.

Come creare una password efficace

Per proteggere i tuoi sistemi aziendali dai più moderni metodi degli hacker, è necessario impiegare delle password davvero sicure. Ecco alcuni consigli degli esperti per crearne una a prova di attacco:

  1. Usa una password con almeno 10-12 caratteri
  2. Evita le sequenze di numeri o lettere della tastiera perché possono essere individuate nel giro di pochi secondi. Evita anche parole comuni come password1 per lo stesso motivo.
  3. La password deve contenere minuscole, maiuscole, simboli e numeri: una maggior varietà la renderà meno prevedibile
  4. Evita sostituzioni di caratteri ovvie, ad esempio lo zero “0” al posto della lettera “O”
  5. Usa parole inconsuete. Anche se utilizzi delle parole comuni, sistemale in un ordine insolito e assicurati che tra loro non ci sia alcun legame fra loro
  6. Utilizza sempre qualcosa che abbia senso per te, ma che un computer potrebbe far fatica a ricordare.
  7. Riutilizzare le password compromette più account: usane quindi una nuova per ogni differente account.

In genere, esistono due approcci nel creare password affidabili:

Il primo consiste nel generare passphrase o frasi-password, che sono basate su un mix di parole comuni non collegate fra loro e con un ordine privo di senso. Un esempio potrebbe essere M0hntaGne7Colorate!. Queste funzionano perché sono facili da ricordare e ingannano i software creati dai cybercriminali.

Un altro approccio prevede l’uso di stringhe di caratteri casuali, prive di senso e contenenti caratteri di tutti i tipi (maiuscole, minuscole, simboli e numeri), come P8$*t&9a2#m@n!. La loro forza consiste nella loro impossibilità di essere scoperte o indovinate e possono essere ricordate con dei semplici trucchi mnemonici.

Come ricordare le password

Con così tante password uniche, dovrai prestare particolare attenzione anche alla loro conservazione.

Evita quindi di scriverle su carta, salvarle nelle app degli appunti del telefono o utilizzare la funzione di riempimento automatico del browser.

Impiega invece i seguenti metodi:

Attiva l’autenticazione a due fattori su tutti gli account più importanti. Questo controllo di sicurezza aggiuntivo si avvale di un supporto a cui hai accesso, come e-mail, messaggio di testo, dati biometrici (es: impronta digitale o riconoscimento facciale), o una chiavetta USB di sicurezza.

Aggiorna spesso le password più importanti, modificandole completamente.

Ricorda che se una password è comoda per te, lo è probabilmente anche per gli hacker: per questo la giornata mondiale delle password è importante per ribadire l’importanza di proteggere adeguatamente i tuoi dispositivi.

Hai bisogno di un aiuto professionale per aumentare la sicurezza informatica nella tua azienda? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.

Come riconoscere sms ed e-mail di phishing

sms e-mail phishing

Il phishing inizia con una e-mail, un sms o un’altra comunicazione fraudolenta inviata allo scopo di agganciare una vittima. Il messaggio sembra provenire da un mittente affidabile, come un collega, un ente o un’azienda conosciuta: se l’inganno riesce, la vittima viene invitata a fornire informazioni riservate su un sito web truffa. Spesso, nel computer del malcapitato si scarica un malware.

Questa pratica prende il nome di phishing. O smishing, se avviene tramite SMS.

Ecco come riconoscere questa tipologia di attacchi e tenere al sicuro i tuoi dati aziendali.

Alcuni esempi di phishing e smishing

Scopri come funzionano questi attacchi in dettaglio e come puoi proteggerti

 «Il tuo pacco è in attesa di consegna»: sms di phishing a nome di Poste Italiane

Capita spesso di ricevere degli SMS da parte di Poste Italiane che ti informa della presenza di un problema con la spedizione del tuo pacco e in cui ti viene richiesto di pagare un importo. Se fai clic sul link presente nel messaggio, ti verrà chiesto di effettuare il pagamento e di inserire i dati della tua carta.

Nonostante possa sembrare un sms sorprendentemente verosimile, in realtà si tratta di una truffa. Tuttavia, prestando attenzione ai dettagli, talvolta si possono trovare delle incongruenze.

«Il tuo account Amazon è incompleto»: e-mail di phishing da parte di Amazon

Nel caso di Amazon, i truffatori cercano di aggirare le misure di sicurezza. Ad esempio, in un’e-mail di questo tipo viene richiesto di aggiungere il tuo numero di telefono per proteggere il tuo account Amazon. La conferma del numero avviene tramite un link che, ovviamente, è manipolato. Tramite un modulo, i criminali cercano difatti di ottenere altri dati oltre al tuo numero di telefono, quelli della tua carta o il tuo indirizzo.

Messaggi di questo tipo sono spesso formulati con un’urgenza che ha lo scopo di metterti sotto pressione.

«Abbiamo rilevato un’anomalia sul tuo conto corrente. Reinserisci le credenziali di accesso»: sms da parte della tua banca

In questa comunicazione la banca chiede di cliccare su un link che apre un sito (in cui viene riportato il logo e il nome della banca), che sembra quello del proprio istituto di credito, in cui viene richiesto di inserire le credenziali di accesso al proprio conto corrente. Una volta inseriti, si riceve una chiamata nella quale viene richiesto un secondo codice per accedere ai servizi online della propria banca, l’OTP. Una volta comunicato, inizia lo svuotamento del conto.

«Ciao, sono in riunione e ho bisogno di un bonifico urgente sul conto di questo fornitore» e-mail di phishing da parte del CEO dell’azienda o di un collega

Le minacce interne sul posto di lavoro, ossia le mail che sembrano provenire da un account di posta aziendale, sono purtroppo all’ordine del giorno. Si tratta di attacchi meno frequenti rispetto al phishing tradizionale, ma sono molto più pericolose poiché più difficili da individuare.

Ad esempio, un dipendente dell’ufficio amministrativo riceve un’email dal suo capo che lo esorta a eseguire un bonifico con estrema urgenza sul conto di un fantomatico fornitore. Questo è un attacco di Business Email Compromise e può rappresentare una minaccia piuttosto grave.

Ma come si fa a riconoscere questa tipologia di truffe?

Cosa fare per riconoscere e-mail o sms di phishing

  • Verifica il mittente: passa il mouse sull’indirizzo e-mail del mittente per scorgere delle anomalie
  • Lo stesso vale per i link: passa il mouse sul link (senza cliccare) e vedrai che il dominio di destinazione ti sembrerà strano
  • Controlla manualmente il numero di spedizione o del pacco: inserisci il codice sulla pagina Internet di poste Italiane
  • Accedi al tuo account Amazon ed entra nella sezione Centro Comunicazioni: lì vedrai tutti i messaggi autentici di Amazon
  • Non cliccare mai su questi link e non rivelare informazioni riservate su di te o sulla tua carta
Hai bisogno di un aiuto professionale per aumentare la sicurezza informatica nella tua azienda? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.

Mese della sicurezza informatica: come proteggersi dagli attacchi informatici

attacchi informatici

Il mese della sicurezza informatica è una campagna dell’Unione Europea che si tiene durante il mese di ottobre per promuovere la conoscenza degli attacchi informatici e dei metodi per contrastarli, fornendo informazioni aggiornate in materia di cybersecurity. L’ECSM (European Cyber Security Month) è organizzato dall’agenzia europea ENISA, e prevede una serie di eventi e attività in tutti i Paesi membri dell’UE.

Un’opportunità per aiutare sia gli utenti che le aziende a tutelarsi. E a conoscere i metodi più efficaci per proteggersi dalle minacce informatiche, in particolare i ransonware.

Attacchi informatici ransonware

Questa tipologia di attacchi avviene attraverso quattro metodi principali.

  • Phishing via mail: si tratta di comunicazioni fraudolente che sembrano provenire da una fonte attendibile o autorevole.
  • Malvertising: sono degli annunci pubblicitari che, una volta cliccati, installano dei software malevoli sul device dell’utente.
  • Social Engineering: questo induce l’utente a fidarsi del cybercriminale a compiere azioni compromettenti, come condividere password.
  • Exploit kit: una parte di codice o un programma progettato per trovare e sfruttare una falla di sicurezza o una vulnerabilità. Un esempio è la compromissione dei sistemi di backup, in modo che gli amministratori non possano utilizzarli per ripristinare i dati.

Come difendersi

Il settore del ransomware è in continua evoluzione: attacchi sempre più sofisticati, aumento dei criminali informatici, nuove tecnologie come il Ransomware as a Service (RaaS).

Esistono tuttavia delle pratiche per mettersi al riparo da cyber-agguati, ad esempio bloccare siti web, e-mail ed allegati sospetti.

Utilizzo di sistemi aggiornati e performanti

Occorre aggiornare regolarmente i sistemi operativi e i software utilizzati, controllando e applicando gli aggiornamenti più recenti. Un software sempre aggiornato è infatti uno dei modi più efficaci per evitare un attacco.

Un’altra componente essenziale è il backup. Bisogna difatti eseguire sempre il backup dei dati in modo da recuperarli in caso di emergenza. Nello stesso tempo, è importante archiviare i backup offline, cosicché non possano essere trovati o compromessi.

Cybersecurity: conoscerla per difendersi

Risulta quindi di fondamentale importanza che le aziende e i dipendenti abbiano familiarità con la sicurezza informatica, per poter prevenire e difendersi da eventuali minacce.

Queste sono molte e in continua evoluzione: virus, worm, trojan possono essere installati su PC non necessariamente collegati alla rete. Ma anche backdoor, spyware, adware, denial of service e spam, che si sviluppano attraverso internet.

Ma quando si può considerare un sistema veramente sicuro? Un sistema infatti risulta sicuro quando si comporta nel modo previsto.

Questo fa però parte di un processo complesso, che inizia dalla formazione e la sensibilizzazione dei dipendenti, fino all’individuazione delle vulnerabilità e alla pianificazione del sistema di sicurezza. Ad un’adeguata sicurezza dei dati si arriva attraverso la valutazione dei sistemi operativi, dei software, dei protocolli in uso, degli apparati di rete coinvolti.

Hai bisogno di un aiuto professionale per aumentare la sicurezza informatica nella tua azienda? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.