La maggior parte delle password che utilizziamo non sono abbastanza ‘forti’, e possono essere compromesse facilmente tramite algoritmi di smart guessing. Nel mese di giugno 2024 un nuovo studio di Kaspersky ha analizzato 193 milioni di password su varie risorse darknet, ‘rubate’ nel dominio pubblico. E il 45% di tutte le password analizzate, 87 milioni, poteva essere indovinato dai cybercriminali entro un minuto. Solo il 23% delle combinazioni (44 milioni) si è rivelato abbastanza forte, tanto che servirebbe più di un anno per decifrarle.
Il 14% (27 milioni), invece, si decifra in un lasso di tempo che va da 1 minuto a 1 ora, l’8% (15 milioni) da 1 ora a 1 giorno, il 6% (12 milioni) da 1 giorno a 1 mese, e il 4% (8 milioni) da 1 mese a 1 anno.
Mai usare nomi, parole ricorrenti, combinazioni standard
Nel 2023 la telemetria di Kaspersky ha evidenziato oltre 32 milioni di tentativi di attacco agli utenti con password stealer. Questi numeri dimostrano l’importanza dell’igiene digitale e di policy adeguate in materia di password.
Di fatto, la maggior parte delle password esaminate a giugno 2024 (57%) contiene una parola del dizionario, il che ne riduce significativamente la forza. Tra le sequenze di vocaboli più popolari, si possono distinguere diversi gruppi: nomi, parole ricorrenti, e password standard.
L’analisi ha mostrato che solo il 19% di tutte le password contiene gli elementi di una combinazione forte e difficile da decifrare, ovvero, lettere minuscole e maiuscole, numeri e simboli e non contiene parole standard del dizionario. Allo stesso tempo, il 39% di queste password potrebbe essere indovinato con algoritmi intelligenti in meno di un’ora.
Non serve essere un genio informatico per decifrarle
L’aspetto più preoccupante è che gli aggressori non hanno bisogno di conoscenze approfondite o di attrezzature costose per decifrare le password.
Ad esempio, un potente processore di un computer portatile è in grado di trovare la combinazione corretta per una password di 8 lettere minuscole o cifre utilizzando la forza bruta in soli 7 minuti
Inoltre, le moderne schede video sono in grado di svolgere lo stesso compito in 17 secondi. E gli algoritmi intelligenti per indovinare le password considerano le sostituzioni di caratteri (‘e’ con ‘3’, ‘1’ con ‘!’ o ‘a’ con ‘@’) e le sequenze più diffuse (qwerty, 12345, asdfg).
Una sequenza casuale è la più affidabile
“Inconsciamente, gli esseri umani creano password ‘umane’, contenenti parole del dizionario nella loro lingua madre, con nomi e numeri, ecc. Anche le combinazioni apparentemente forti sono di rado completamente casuali, quindi possono essere indovinate dagli algoritmi – ha commentato Yuliya Novikova, Head of Digital Footprint Intelligence di Kaspersky -. Di conseguenza, la soluzione più affidabile è quella di generare una password casuale utilizzando password manager moderni e affidabili. Tali applicazioni sono in grado di memorizzare in modo sicuro grandi volumi di dati, fornendo una protezione completa ed efficace delle informazioni degli utenti”.