Foto di Towfiqu barbhuiya.

Quasi 10 miliardi di elementi in chiaro: a tanto ammonta quello che pare essere la più grande lista di password mai pubblicata sui forum dedicati all'hacking.

Un utente noto solo come ObamaCare ha diffuso l'elenco lo scorso 4 luglio, includendolo in un file di testo dal nome rockyou2024.txt; secondo quanto segnala Cybernews, all'interno si trovano password già sottratte in passato e altre completamente nuove (circa 1,5 miliardi).

«Il leak RockYou24 è, sostanzialmente, una collezione di password realmente usate da persone in tutto il mondo. La rivelazione di così tante password aumenta in maniera sostanziale il rischio di attacchi del tipo credential stuffing» affermano ancora i ricercatori di Cybernews.

Un attacco credential stuffing avviene in maniera molto grezza ma efficace: le credenziali rubate vengono provate, tramite sistemi automatici, su tutti i siti più diffusi.

Consigliamo la lettura di:

Flipper Zero non è un gadget per “hackerare tutto”

L'attacco informatico con gli spazzolini da denti

Chrome, la modalità in incognito non è in incognito

Le paure più frequenti

Facendo conto sulla nota pigrizia degli utenti e sulla pessima abitudine di riciclare le medesime password, i risultati per i potenziali hacker sono generalmente buoni: con una sola coppia di credenziali (nome utente e password) possono accedere a diversi servizi.

Proprio per far fronte a una minaccia di questo tipo molti siti hanno adottato delle protezioni che prevengono i tentativi di login molteplici, e naturalmente le solite raccomandazioni in materia di sicurezza e gestione delle password sono sempre valide: mai riutilizzarle, mai sceglierne di ovvie, mai usarne di troppo brevi o troppo semplici.

Spunti di approfondimento:

Passkey in pratica: proteggere un account Google

Addio password, benvenuta passkey?

Stuxnet, il virus informatico più distruttivo della storia

Spotify, un bug rivela i dati degli utenti

Chi volesse verificare se la propria password sia tra quelle trafugate e pubblicate può sfruttare lo strumento messo a disposizione da Cybernews: generalmente non è una buona idea inserire la propria password in una casella di testo su un sito web per verificarne la bontà, ma in questo caso ci sentiamo di assicurare che il servizio sia pienamente legittimo.