Sembra incredibile, ma ancora oggi la password più utilizzata al mondo è “123456”. A decretarlo è l’ultimo report annuale di NordPass sulle password più sfruttate nelle violazioni di dati. Sorprendente la longevità anche di altre opzioni, altrettanto prevedibili, come “123456789”, “12345678”, “12345” e “admin”.
Lo studio potrebbe essere considerato come l’ennesimo rapporto allarmistico senza un vero fondamento, ma è interessante constatare come esistano ancora siti che permettono di creare account usando “123456” come password. Un esempio è il sito Evite che permette ancora oggi di utilizzare questa semplice sequenza di cifre. Anche se il sito fornisce un servizio di inviti elettronici, in realtà, nell’erogazione del servizio vengono condivisi dati personali, anche attraverso la creazione di un account. La parte più preoccupante rimane però il fatto che lo stesso sito Evite è stato oggetto di una violazione dei dati nel 2019 che ha coinvolto le informazioni personali di oltre 100 milioni di utenti.
La situazione non migliora eseguendo altri test su siti ancora più popolari. Per esempio: creando un account su Facebook, la piattaforma richiede un certo livello di complessità della password, ma una semplice sequenza, come “1234567!”, viene comunque accettata, nonostante lo stesso sito offra anche alcuni consigli per creare la propria password, come: “Evita di usare parole comuni” e “Se la tua password non è abbastanza forte, mescola lettere maiuscole e minuscole. Rendila più complessa usando una frase più lunga o una serie di parole che puoi ricordare ma che altri non conoscono”. Eppure, Facebook, nel momento della creazione di un account, consente l’utilizzo di “1234567!”: nessuna lettera, solo un pattern sequenziale con un semplice punto esclamativo alla fine, facilmente intuibile, soprattutto da script automatizzati che testano in massa gli account con pattern e stringhe comuni. Incredibile, soprattutto se si pensa che Collins Dictionary, un sito con contenuti molto meno sensibili, obbliga a creare una password di otto caratteri contenente almeno tre tra i seguenti elementi: lettere minuscole (a-z), lettere maiuscole (A-Z), numeri (0-9) e caratteri speciali (ad esempio !@#$%^&*).
Nel report di NordPass però vengono segnalati numerosi siti che adottano policy limitate sulle password e che consentono l’adozione di password deboli come “123456”. In questo contesto, va però considerato anche l’aspetto di “eredità” nel metodo utilizzato per verificare l’utilizzo delle password più comuni. Per esempio, se un’azienda esiste da 10 anni e non ha mai eliminato gli account degli utenti inattivi, una violazione permetterebbe di accedere solo a informazioni obsolete di account dormienti. A questo si aggiunge il fatto che spesso la notizia di data breach e violazione delle password viene diffusa e rimarcata da aziende il cui core business è proprio la fornitura su abbonamento di software di gestione delle password.
Interrompere il ciclo
Come è possibile risolvere il problema dell’adozione delle password deboli e la presenza in rete di siti e piattaforme che ne consentono ancora l’utilizzo?
Probabilmente è arrivato il momento che il legislatore intervenga fermamente per porre fine alla pratica di tutte quelle aziende che non implementano politiche di autenticazione rigorose e permettono ai loro utenti di scegliere l’opzione più facile. Esiste una legislazione diffusa sulla privacy, sia a livello europeo che nazionale, che stabilisce che le aziende devono proteggere i dati personali dei loro utenti, utilizzando misure di sicurezza informatica adeguate. Una parte fondamentale di queste misure è l’impostazione di password forti e complesse e l’uso dell’autenticazione a più fattori (MFA), come richiesto da qualsiasi framework di cybersecurity che si rispetti. Eppure, in molti casi, non esistono requisiti di sicurezza informatica per l’autenticazione di servizi rivolti ai clienti.
Alcuni settori, attraverso legislazioni dedicate, data la sensibilità dei dati che trattano, sono stati costretti ad aggiornarsi a metodi moderni. Nel settore finanziario, per esempio, esistono diverse normative, come la Payment Services Directive 2 (PSD2), che impongono l’MFA per i pagamenti elettronici e l’accesso online ai conti di pagamento. Questa legislazione dovrebbe estendersi a tutti i settori, imponendo l’MFA per tutti gli account creati online, indipendentemente dal servizio utilizzato. In altre parole, occorre abbandonare l’uso obsoleto delle password e passare a sistemi di sicurezza più adeguati per l’Internet di oggi.
Sul percorso ci sono, però, degli ostacoli. Le aziende che dipendono dalla pubblicità o dalla raccolta (e vendita) di dati personali per fare business esercitano forti pressioni contro questa misura, e le aziende con grandi budget si oppongono a tutto quello che può ostacolare i loro profitti, come per esempio la sicurezza degli account dei clienti tramite password complesse e/o MFA.
Da 30 anni si parla del problema delle password deboli, tanto da aver istituito una giornata dedicata, il “Password Day” che si celebra il primo giovedì di maggio di ogni anno. Esisterebbe un modo semplice ed efficace per risolvere la questione: imporre password complesse o, meglio ancora, l’MFA. Solo così si potrà smettere una volta per tutte di parlare di “password deboli”.
