Kaspersky: basta un minuto per compromettere le password più semplici

Secondo i risultati della ricerca, il 45% di tutte le password analizzate (87) poteva essere indovinato dai cybercriminali entro un minuto. Solo il 23% (44 milioni) delle combinazioni si è rivelato abbastanza forte: servirebbe più di un anno per decifrarle. Inoltre, gli esperti di Kaspersky hanno rivelato quali sono le combinazioni di caratteri più utilizzate per la creazione di password.

La telemetria di Kaspersky evidenzia oltre 32 milioni di tentativi di attacco agli utenti con password stealer nel 2023. Questi numeri dimostrano l'importanza dell'igiene digitale e di policy adeguate in materia di password.

Attraverso un nuovo studio, a giugno 2024 Kaspersky ha analizzato 193 milioni di password, che sono state trovate nel dominio pubblico su varie risorse darknet. I risultati dimostrano che la maggior parte delle password analizzate non erano sufficientemente forti e potevano essere facilmente compromesse utilizzando algoritmi di smart guessing. Ecco come capire la velocità con cui ciò può accadere:

• 45% (87 milioni) in meno di 1 minuto.
• 14% (27 milioni) - da 1 minuto a 1 ora.
• 8% (15 milioni) - da 1 ora a 1 giorno.
• 6% (12 milioni) - da 1 giorno a 1 mese.
• 4% (8 milioni) - da 1 mese a 1 anno.

Gli esperti hanno ritenuto resistenti solo il 23% (44 milioni) delle password e per comprometterle ci vorrebbe più di un anno.

Inoltre, la maggior parte delle password esaminate (57%) contiene una parola del dizionario, il che ne riduce significativamente la forza. Tra le sequenze di vocaboli più popolari, si possono distinguere diversi gruppi:

• Nomi: "ahmed", "nguyen", "kumar", "kevin", "daniel".
• Parole ricorrenti: "per sempre", "amore", "google", "hacker", "gamer".
• Password standard: "password", "qwerty12345", "admin", "12345", "team".

L'analisi ha mostrato che solo il 19% di tutte le password contiene gli elementi di una combinazione forte e difficile da decifrare: lettere minuscole e maiuscole, numeri e simboli e non contiene parole standard del dizionario. Allo stesso tempo, lo studio ha rivelato che il 39% di queste password potrebbe essere indovinato con algoritmi intelligenti in meno di un'ora. 

L'aspetto più preoccupante è che gli aggressori non hanno bisogno di conoscenze approfondite o di attrezzature costose per decifrare le password. Ad esempio, un potente processore di un computer portatile è in grado di trovare la combinazione corretta per una password di 8 lettere minuscole o cifre utilizzando la forza bruta in soli 7 minuti. Inoltre, le moderne schede video sono in grado di svolgere lo stesso compito in 17 secondi. Inoltre, gli algoritmi intelligenti per indovinare le password considerano le sostituzioni di caratteri ("e" con "3", "1" con "!" o "a" con "@") e le sequenze più diffuse ("qwerty", "12345", "asdfg").

"Inconsciamente, gli esseri umani creano password 'umane' - contenenti parole del dizionario nella loro lingua madre, con nomi e numeri, ecc. Anche le combinazioni apparentemente forti sono di rado completamente casuali, quindi possono essere indovinate dagli algoritmi. Di conseguenza, la soluzione più affidabile è quella di generare una password casuale utilizzando password manager moderni e affidabili. Tali applicazioni sono in grado di memorizzare in modo sicuro grandi volumi di dati, fornendo una protezione completa ed efficace delle informazioni degli utenti", ha commentato Yuliya Novikova, Head of Digital Footprint Intelligence di Kaspersky.

Per migliorare la policy in materia di password, gli utenti possono utilizzare i seguenti semplici consigli:

• È quasi impossibile memorizzare password lunghe e uniche per tutti i servizi utilizzati, ma con un password manager è possibile memorizzare una sola password principale.
• Utilizzare una password diversa per ogni servizio, in questo modo, anche se uno dei propri account venisse rubato, gli altri non sarebbero coinvolti.
• Le passphrase possono essere più sicure quando si usano parole inaspettate. Anche se si utilizzano parole comuni, è possibile disporle in un ordine insolito e assicurarsi che non siano correlate. Esistono anche servizi online che aiuteranno a verificare se una password è abbastanza forte.
• È meglio non utilizzare password che possano essere facilmente indovinate a partire da informazioni personali, come date di nascita, nomi di familiari, animali domestici o il proprio nome. Questi sono spesso i primi tentativi che compie un aggressore per indovinare la password.
• Attivare l'autenticazione a due fattori (2FA). Nonostante non sia direttamente correlata alla forza delle password, l'attivazione della 2FA aggiunge un ulteriore livello di sicurezza. Anche se qualcuno scoprisse la password, avrebbe comunque bisogno di una seconda forma di verifica per accedere all’ account. I moderni gestori di password memorizzano le chiavi 2FA e le proteggono con i più recenti algoritmi di crittografia.
• L'utilizzo di una soluzione di sicurezza affidabile aumenta il livello di protezione. Monitora Internet e il Dark Web e avvisa se le password devono essere modificate.

Informazioni sullo studio

La ricerca è stata condotta sulla base di 193 milioni di password pubblicamente disponibili su varie risorse della darknet. Lo studio è consultabile cliccando sul link nel post di Kaspersky Daily. Ulteriori informazioni sono disponibili nel materiale di ricerca su Securelist.

Nell'ambito del sondaggio, gli esperti Kaspersky hanno utilizzato i seguenti algoritmi per indovinare le password:

• Bruteforce: è un metodo per indovinare una password che consiste nel provare sistematicamente tutte le possibili combinazioni di caratteri fino a trovare quella corretta.
• Zxcvbn: è un algoritmo di punteggio avanzato disponibile su GitHub. Per una password esistente, l'algoritmo ne determina lo schema. Successivamente, l'algoritmo conta il numero di iterazioni di ricerca necessarie per ogni elemento dello schema. Quindi, se la password contiene una parola, la sua ricerca richiederà un numero di iterazioni pari alla lunghezza del dizionario. Avendo a disposizione il tempo di ricerca per ogni elemento dello schema, possiamo contare la forza della password.
• Algoritmo di smart guessing: è un algoritmo di apprendimento. Basandosi sul set di dati delle password degli utenti, può calcolare la frequenza delle varie combinazioni di caratteri. Quindi può generare prove a partire dalle varianti più frequenti e dalle loro combinazioni a quelle meno ricorrenti.