Facebook, dopo l’attacco i dati personali in vendita online. A prezzi stracciati
Qualche giorno fa il furto di 50 milioni di account. Oggi si scopre che sono stati messi in vendita online, esponendo le persone a rischi anche molto gravi.
I 50 milioni di account rubati a Facebook la settimana scorsa sono già in vendita sul dark web a prezzi che vanno da 3 a 12 dollari dollari l’uno. Una minaccia concreta per gli utenti colpiti, in particolare per quelli che non hanno cambiato la password e quelli che, soprattutto, usano gli stessi dati di accesso anche su altri siti oltre Facebook. Per il pagamento sono accettati Bitcoin e Bitcoin Cash, due tra le criptovalute più diffuse.
“Le informazioni personali sono semplicemente troppo preziose sul dark web”, spiega un esperto di sicurezza a The Independent, “finché i dati rubati avranno prezzi alti e gli assalitori hanno gli strumenti necessari per portare a termine gli attacchi, ricattare le vittime, estorcere informazioni o distruggere proprietà, le organizzazioni devono attuare tutte le misure per proteggere diligentemente le proprie reti, i dispositivi e gli utenti”.
Gli account compromessi in Europa dovrebbero essere circa 5 milioni, e non sappiamo quanti di questi siano in Italia. Le probabilità di essere tra le vittime dunque non sono molte, ma i rischi correlati esistono ed è opportuno tutelarsi nel migliore dei modi. Cambiare la password è un primo passo semplice e molto utile, così come attivare l’autenticazione in due fattori (2FA) – preferibilmente tramite applicazione dedicata (ad esempio Google Authenticator, che è gratuita) e non SMS. L’altra misura più che opportuna è non usare la stessa password altrove; in altre parole, la password di Facebook non dovrebbe essere anche quella di Google, della banca, di Amazon o qualsiasi altra cosa si utilizzi.
Usare una password diversa su ogni servizio rende molto difficile ricordarle tutte. Ce le si può scrivere su un quaderno, come fanno molti, oppure usare un programma fatto apposta. Si chiamano password manager, ce ne sono diversi gratuiti, e ci sono di aiuto perché permettono di ricordare una sola password – quella principale – senza timore di perdere le altre.
Quali sono i rischi?
Se ti rubano i dati di accesso a Facebook, la conseguenza più ovvia è che possono entrare nel tuo account (a meno che non sia attiva la 2FA). Questo di per sé già rappresenta un impiccio sotto diversi punti di vista: il primo è che uno sconosciuto potrà vedere contenuti che forse vogliamo mantenere privati, ma purtroppo non è l’unico problema. Potrebbe cambiare la password e chiuderci fuori dall’account stesso, obbligandoci a una tediosa procedura di recupero tramite l’assistenza di Facebook. E potrebbe usare l’account per fare spam, cioè per pubblicare contenuti di sua scelta e spesso pericolosi; tipicamente, sono link a pagine infette che diffondono virus, o progettate per rubare altri dati (phishing). Come se non bastasse, un abuso dell’account Facebook può rappresentare un notevole danno di reputazione.
Nel malaugurato ma comune caso in cui i dati di accesso siano validi anche altrove, i problemi non fanno che amplificarsi. L’accesso alla posta elettronica rappresenta senz’altro il danno maggiore, ma anche l’account Google è particolarmente delicato. Così come quello a servizi di archiviazione online sulla falsa riga di Dropbox, dove spesso si trovano documenti personali o professionali pieni di dati sensibili. Il classico “mi hanno svuotato il conto corrente” è senz’altro possibile, ma non capita poi così spesso e tutto sommato i sistemi anti frode ci aiutano a recuperare il maltolto.
Il rischio più grande è il furto d’identità: i casi registrati finora non sono stati molti, pochissimi quelli davvero gravi, ma potenzialmente qualcuno potrebbe riuscire a impersonarvi in modo abbastanza convincente da comprare un’auto a vostro nome, intestarvi un prestito o qualsiasi altra cosa. Gli esperti sono d’accordo nel dire che questo tipo di reato si presenterà sempre più di frequente in futuro, e richiamano tutti noi alla massima attenzione.
Che cos’è il Dark Web?
Quando si dice Web non si intende Internet, ma solo quell’insieme di siti e pagine a cui si può accedere con un browser (Microsoft Edge, Google Chrome, Apple Safari, etc…). Internet è una rete molto più grande che include molte altre cose, ivi incluso il Dark Web.
Quest’ultimo si chiama così (dark=oscuro) perché non è visibile. Una persona “normale” non sa nemmeno che esiste e di certo non può vederlo semplicemente sul browser. Come la parte sommersa di un iceberg, il dark web è visibile solo a chi guarda con gli strumenti giusti. Nello specifico, ci sono programmi che permettono di realizzare siti temporanei e difficilmente accessibili. Strumenti che servono anche a raggiungere questi siti. E ci sono programmi per mantenere canali di comunicazione protetti, quel tipo di canale che si rende necessario per la compravendita di dati personali rubati (ma anche armi, droga, merci contraffatte).
Che i dati rubati a Facebook sarebbero finiti in vendita lo si poteva dare per scontato, così come il fatto che il canale d’elezione sarebbe stato il Dark Web. L’unico dettaglio su cui si poteva dubitare era il valore concreto di quei dati: i prezzi pubblicati ci dicono che un account Facebook vale tra i 3 e 12 dollari, che è un prezzo vantaggioso per un possibile compratore. Investendo poche migliaia di euro, infatti, ci si porterebbe a casa un pacchetto di dati da analizzare.
Se anche una piccola percentuale si rivela redditizia l’investimento si ripaga da solo, ed ecco perché continueremo a vedere attacchi di questo genere. A meno che le aziende bersaglio – non solo i grandi colossi hi-tech – trovino il modo di proteggere i dati dei propri clienti e utenti in modo assolutamente sicuro e inviolabile. Un modo che oggigiorno, pare, nemmeno esiste.