Sicurezza delle password: perché le politiche standard non sono sufficienti

Le deboli politiche sulle password lasciano le organizzazioni vulnerabili agli attacchi. Ma le classiche richieste di complessità delle password sono sufficienti per proteggerle? L'83% delle password compromesse sarebbe conforme ai requisiti di complessità e lunghezza delle norme di conformità. Questo perché i cattivi attori hanno già accesso a miliardi di credenziali rubate che possono essere utilizzate per compromettere ulteriori account tramite il riutilizzo delle stesse credenziali. Per rafforzare la sicurezza delle password, le organizzazioni devono guardare oltre i requisiti di complessità e bloccare l'uso di credenziali compromesse.

C'è un mercato per le credenziali rubate

Ogni volta che un'organizzazione subisce una violazione o che un subset delle credenziali dei clienti viene rubato, c'è una forte possibilità che tutte quelle password finiscano in vendita sul dark web. Ricordate l'hack di Dropbox e LinkedIn che ha portato al furto di 71 milioni e 117 milioni di password? Esiste un mercato nero che vende quelle credenziali agli hacker che poi le utilizzano in attacchi di "credential stuffing".

Come funziona il credential stuffing

Il "credential stuffing" è un popolare metodo di attacco a causa del minimo sforzo richiesto per ottenere il massimo guadagno finanziario; tant'è che negli ultimi anni sono state rubate e vendute sei volte più credenziali. Più cresce il numero di credenziali rubate con ogni nuova violazione, maggiore è l'opportunità di attaccare tramite "credential stuffing". Si stima che ogni giorno si verifichino 111 milioni di cyberattacchi. Per ogni milione di combinazioni di indirizzi email e password, gli attaccanti possono potenzialmente compromettere tra 10.000 e 30.000 account.

Come difendersi da questa minaccia

Così come riutilizzare le password su più siti aumenta la vulnerabilità degli account degli utenti e complica gli sforzi per prevenire l'accesso non autorizzato, individuare tempestivamente le password compromesse e notificare agli account interessati è fondamentale per ridurre le minacce di "credential stuffing" contro le organizzazioni e i loro utenti.