Come si rubano le password di Facebook, della banca e della mail. Guida: come difendersi.

Il fenomeno del furto delle password dei nostri account più preziosi è un fenomeno in pauroso aumento. Ci sono molti modi per rubare le password di Facebook, della mail, della banca e dei siti a cui teniamo di più, vediamo insieme quali sono i metodi più utilizzati per rubare le password per capire come difenderci.
Non a caso abbiamo messo sullo stesso piano password di Facebook e mail con quelle dell‘internet banking o delle carte di credito. Siamo di solito abituati a proteggere con cura gli accessi ai nostri soldi, ma molto spesso vengono trascurate le password dei sistemi di social network come Facebook e LinkedIn o della posta elettronica. In realtà rubare le password di Facebook e della mail è un reato in paurosa crescita. Per quale motivo?

Tramite i nostri social network e la nostra posta elettronica, gli hacker possono effettuare un vero e proprio furto di identità. Con le informazioni reperibili nel nostro profilo o nella posta elettronica, chi ci ha rubato la password potrebbe costruire una identità duplicata della nostra con la quale commettere crimini informatici e non, fare acquisti e metterci comunque nei guai.
Vediamo insieme, in modo molto semplificato, quali sono le tecniche più efficaci utilizzate per rubare le password per darvi la possibilità di prestare più attenzione riconscere le frodi.
Sia ben chiaro che non si tratta di una guida su come rubare la password di facebook o della mail, ma di una guida su come funzionano i furti delle credenziali molto semplificata in modo di dare anche ai meno esperti utili suggerimenti, e soprattutto per evitare di dare ai più “esperti” troppa curiosità per approfondire l’argomento che potrebbe risultare altamente rischioso!

Ci avvaliamo della preziosa collaborazione di un esperto che si occupa proprio di sicurezza di sistemi informatici, che sarà lieto di rispondere a vostri quesiti, sia nei commenti che in messaggi diretti tramite il nostro form di contatto

 

Keylogging

Si tratta del metodo più “semplice” e datato. Consiste nel rubare le password tramite un software installato nel pc o nel dispositivo mobile (specialmente Android) che non fa altro che “registrare” tutto quello che digitate sulla tastiera. I software di keylogging più evoluti riconoscono il sito in cui vi trovate e si attivano solo durante la fase di accesso nei siti di banche, carte di credito, mail e social networks: in questo modo registreranno solamente la digitazione di nome utente e password. Quando ad esempio vi trovate nella pagina https://www.facebook.com e non siete loggati, il software registrerà la digitazione di indirizzo email e password inviandole all’autore del software (il c.d. hacker) perfezionando così il furto della password del vostro account Facebook, della banca, della mail e così via. (Esistono anche keylogger fisici, dei dispositivi che si attaccano direttamente al pc nelle porte ps/2 o USB ma sono scarsamente usati)

Trojan / Virus

I trojan sono particolari tipi di Virus, che oltre alla caratteristica di rubare le password, si diffondono automaticamente infettando in autonomia altri computer o dispositivi mobile, senza che l’utente se ne possa accorgere.

password_trojanI trojan possono manomettere pesantemente il vostro computer o il vostro smartphone, modificando soprattutto componenti fondamentali dei browser internet (soprattutto Internet Explorer di versioni antecedenti alla 9).
Possono ad esempio mostrare campi aggiuntivi nelle pagine in cui inserite normalmente il vostro codice utente e la password, sostituendo in modo a volte impercettibile i campi che normalmente compilate, con campi del tutto simili ma che trasmettono le vostre password all’hacker.
Potrebbero ad esempio fare comparire campi aggiuntivi da compilare: oltre ai normali campi email e password di Facebook, potrebbe esservi chiesto di digitare nuovamente la password “per motivi di sicurezza”: la prima password servirà per accedere, la seconda password (da voi stessi digitata) verrà rubata e trasmessa all’hacker.
I keylogger e i trojan sono pertanto dei software di cui non conoscete l’esistenza e che si installano sul vostro computer o smartphone senza che ve ne accorgiate. Solitamente sono nascosti in programmini che scaricate da internet o che vi manda qualche vostro conoscente via email (in realtà si tratta di una mail falsa, e il vostro conoscente non l’ha inviata realmente).
Molto spesso keylogger e trojan sono “travestiti” da software che promettono di proteggere il vostro computer, di risolvere problemi al computer o addirittura di rubare password di altri (chi la fa l’aspetti..).

Come proteggersi: normalmente i keylogger e i trojan utilizzati per rubare le password vengono rilevati da un buon antivirus, se attivo e aggiornato quotidianamente e se fate periodicamente una scansione del vostro pc. Per aumentare la protezione potete attivare il firewall integrato di Windows o di terze parti, che vi avviserà se un software cercherà di comunicare verso l’esterno (per trasmettere le password)

 

Phishing

Il phishing è un tipo di truffa via Internet attraverso la quale un aggressore cerca di ingannare la vittima convincendola a fornire informazioni personali sensibili.
Vi sarà certamente successo di ricevere mail dalle poste o da banche diverse dalla vostra, che vi chiedono in un italiano ostentato di compiere delle azioni, di cliccare su un collegamento della mail per ritirare un premio, annullare un pagamento, ricevere del denaro.
Lo scopo di queste mail, inviate massivamente a milioni di indirizzi email recuperati in rete, è quello di “pescare” fra i tanti destinatari qualche sprovveduto, magari cliente di quella banca o delle poste, che incuriosito o preoccupato esegue quanto richiesto nella mail, cliccando sul link.
Il link porta normalmente ad un clone del sito della banca, delle poste, di Facebook o della posta elettronica in cui il malcapitato è invitato ad inserire il proprio codice utente e la password. Il sito che appare però, pur essendo una riproduzione fedele del sito originale, in realtà è un sito di phishing, che ruberà le password e le trasmetterà all’hacker autore della frode.

Come proteggersi: i social network, le banche, i provider internet, proprio in seguito a questo tipo di frode non vi chiederanno mai di cliccare su link presenti in messaggi email, pertanto diffidate da questi messaggi.
Quando dovete accedere ad un sito sicuro, digitate direttamente l’indirizzo del sito nella barra degli indirizzi del vostro browser, addirittura senza passare per Google. Per accedere a facebook, digitate direttamente facebook.com (www e http:// possono essere tranquillamente omessi), non cliccate su link presenti in messaggi email e non usate barre di ricerca varie.

Potete verificare di trovarvi nel sito giusto, controllando attentamente ad ogni accesso la barra degli indirizzi del vostro browser. Nell’esempio qui sotto vedete un tipico caso di phising. Il sito è del tutto identico a Facebook, ma guardando la barra degli indirizzi si capisce che il sito è falso ed è stato creato per rubare le password di Facebook:
rubare le password phishing

 

Furto delle password direttamente dal vostro computer

Vi ricordiamo che esistono anche programmi, che permettono di trovare le password nascoste dietro agli “asterischi” o ai “puntini”. Molto spesso i browser “ricordano” per vostra comodità le password che digitate: in questo modo sarà più veloce accedere a Facebook o alla vostra mail.. ma a discapito della sicurezza. Quando questi dati vengono precompilati in automatico, vi vengono mostrati dei pallini o degli asterischi per evitare che qualcuno possa vedere la password.. ma esistono programmi che vi permettono di leggere le password nascoste: leggete ad esempio questo nostro articolo: “Trovare la password di Facebook

 

Scelta delle password

In ogni caso, il nostro consiglio è di scegliere password di almeno 8 caratteri, contenti sia caratteri maiuscoli che minuscoli, cifre e caratteri speciali (ad esempio – _ + ; ( ecc..). L’ideale è avere password diverse per ogni diverso sito (in questo modo, se vi dovessero rubare una password.. gli hacker avrebbero accesso solo ad un sistema, non a tutti)

 

Se pensate di aver subìto un furto di password..

Il primo passo da fare immediatamente è quello di cambiare immediatamente la password da un computer “sicuro”.
Segnalate poi immediatamente che il vostro account è stato compromesso: tutti i sistemi bancari ad esempio prevedono una procedura per bloccare account compromessi, anche Facebook ha una pagina specifica per segnalare che il vostro account potrebbe essere stato violato: https://www.facebook.com/hacked

 

Per la massima sicurezza..

password_otpDotatevi di dispositivi che vi permettono di avere credenziali “sicure”. Si tratta di “strong authentication”, cioè di sistemi alternativi o aggiuntivi rispetto alla normale password. Possono essere credenziali inviate via SMS sul vostro cellulare (vulnerabili però in caso di infezione da virus sul vostro smartphone), chiamate a numeri gratuiti fatti esclusivamente dal vostro cellulare per autorizzare operazioni rischiose, oppure generatori di password “usa e getta”, meglio conosciuti come “Token” o “OTP” disponibili sia in versioni hardware (le famose “chiavette” o “portachiavi” dotate di un display che mostra un codice da inserire nel sito) oppure software (applicazioni installate su pc o sul vostro smartphone che generano codici del tutto simili a quelli mostrati nei token.

Vi ricordiamo che sia in Facebook che in Gmail è possibile utilizzare dei generatori di codici di sicurezza (Facebook: generatore di codici Gmail: verifica in due passaggi )