Foto di Zulfugar Karimov.

Il progetto Have I Been Pwned (HIBP), gestito dal ricercatore Troy Hunt, ha recentemente ampliato in modo significativo il proprio archivio di credenziali compromesse. Il 6 novembre Hunt ha annunciato l'integrazione di ben 1,3 miliardi di nuove password rubate, provenienti da una vasta gamma di fonti, tra cui malware infostealer e operazioni di polizia internazionale. Questo aggiornamento porta il totale delle password nel database a oltre 4 miliardi, rendendo HIBP uno degli strumenti più completi per il controllo delle proprie credenziali online.

Una parte consistente di questi dati proviene dalla "Operation Endgame 2.0", un'azione congiunta tra autorità di diversi Paesi (tra cui Germania, Stati Uniti, Regno Unito e Francia) che ha smantellato infrastrutture legate a malware come Qakbot, Trickbot, Danabot e Conti. Durante l'operazione sono stati sequestrati 15,3 milioni di indirizzi email e 43,8 milioni di password, successivamente condivisi con HIBP per l'analisi e l'integrazione nel database.

Oltre alle operazioni di polizia, una parte significativa dei dati è stata estratta da archivi di malware infostealer, software malevoli progettati per raccogliere credenziali direttamente dai dispositivi infetti. Questi strumenti sono particolarmente insidiosi perché non si limitano a colpire grandi piattaforme ma compromettono anche account personali e aziendali attraverso il furto diretto dei dati memorizzati nei browser o nei gestori di password.

HIBP non si limita a raccogliere dati: offre anche un'interfaccia pubblica per verificare se un indirizzo email o una password siano stati coinvolti in una violazione. Il servizio è gratuito e può essere utilizzato da privati e aziende. Per le imprese è disponibile un'API che consente di integrare il controllo delle credenziali nei propri sistemi di autenticazione, contribuendo a prevenire attacchi di tipo credential stuffing, in cui gli aggressori tentano di accedere a servizi sfruttando combinazioni email-password già compromesse.

Proposte di lettura:

PayPal, allarme sicurezza: i dati di 15,8 milioni di account in vendita sul dark...

16 miliardi di nomi utente e password finiscono online: coinvolti anche Facebook...

Il malware che si diffonde col software pirata

Facebook, trafugati i dati di oltre mezzo miliardo di utenti

L'aggiornamento del database è inoltre un promemoria concreto dell'importanza di non riutilizzare le stesse password su più servizi e di adottare strumenti come i gestori di password per generare credenziali robuste e uniche. Anche se una password modificata può sembrare sicura, gli schemi di variazione sono spesso prevedibili e facilmente aggirabili dagli attaccanti. Verificare regolarmente le proprie credenziali su HIBP è una misura semplice ma efficace per ridurre il rischio di compromissione.

Sullo stesso tema:

Zoom, mezzo milione di password in vendita

EmuParadise violato, rubati i dati di 1,1 milioni di utenti

Pubblicata la ''master list'' degli hacker

Compromessi 642 milioni di account Myspace, Tumblr e Fling