Ho smesso di usare le domande di sicurezza quando ho scoperto quanto sia facile hackerarle
Registrarsi per un nuovo account può essere un compito noioso a causa delle impostazioni di sicurezza del sito web. Durante la compilazione del modulo, ti imbatterai spesso in un campo con una domanda di sicurezza. È una domanda alla quale solo tu dovresti sapere rispondere e, nel caso perdessi la password, questa è la domanda che ti aiuta a recuperarla.
La maggior parte delle persone digita la risposta senza pensarci due volte. Dopotutto, la domanda dovrebbe proteggerti dai cattivi, giusto? Se anche tu la pensi così, rimarrai sorpreso di sapere che queste domande sono spesso i punti più deboli della tua catena di sicurezza. Ci sono diversi modi in cui gli hacker possono rubare le risposte alle tue domande di sicurezza, ed è per questo che ho smesso di usarle del tutto ovunque fosse possibile.
Le domande di sicurezza creano solo l'illusione di protezione
Le domande di sicurezza falliscono come livello di sicurezza moderno
Il concetto di una domanda di sicurezza sembra ottimo sulla carta. Scegli una domanda da un elenco predefinito a cui solo tu conosci la risposta, e diventa una chiave di backup per il tuo account se dimentichi mai la tua password e hai bisogno di reimpostarla. Il problema qui è che queste informazioni presumibilmente segrete raramente sono davvero segrete.
Il cognome da nubile di tua madre? I membri della tua famiglia lo sanno, i tuoi amici lo sanno, e potrebbe persino trovarsi in un database di registri pubblici. La città in cui sei nato? Probabilmente è proprio lì sul tuo profilo Facebook.
Uno studio condotto da Google ha analizzato centinaia di milioni di domande di sicurezza e risposte da utenti reali e ha mostrato il difetto fondamentale: le risposte alle domande di sicurezza sono o abbastanza sicure o facili da ricordare, ma raramente entrambe. In altre parole, le domande di cui ricorderai effettivamente le risposte sono le stesse che un hacker può indovinare o trovare la risposta con un po' di stalking di base o ingegneria sociale. Quelle che potrebbero effettivamente essere sicure, avrai difficoltà a ricordare la risposta tu stesso e quindi è meno probabile che vengano scelte. Quasi il 40 percento degli utenti di lingua inglese negli Stati Uniti ha ammesso di non riuscire a ricordare le proprie risposte alle domande di sicurezza quando necessario.
La maggior parte delle domande di sicurezza sono sorprendentemente facili da indovinare
Perché le risposte prevedibili rendono gli account vulnerabili
La maggior parte delle domande di sicurezza sono incredibilmente facili da indovinare. Secondo lo stesso studio di Google menzionato sopra, un attaccante ha il 19,7 percento di possibilità di indovinare il cibo preferito di un utente di lingua inglese con un solo tentativo—la risposta è, come era prevedibile, pizza. Con solo 10 tentativi, un attaccante ha quasi il 24 percento di possibilità di scoprire il nome del primo insegnante di un utente di lingua araba. Per gli utenti sudcoreani, 10 tentativi danno a un attaccante il 39 percento di possibilità.
Quei numeri sono significativamente peggiori della sicurezza delle password. Una probabilità del 20 percento con un solo tentativo significa che circa uno su cinque account che utilizza quella domanda è vulnerabile al più semplice attacco possibile. Questo non è nemmeno un esercizio teorico. I ricercatori di Google hanno scoperto che le persone che cercano di ingannare il sistema fornendo risposte false in realtà peggiorano le cose. Circa il 37 percento degli utenti ha ammesso di aver falsificato le proprie risposte per renderle più difficili da indovinare, ma in pratica, queste risposte false sono effettivamente più facili da indovinare.
I veri aggressori non indovinano, fanno ricerca
Come gli aggressori raccolgono informazioni personali online
Se gli studi non sono abbastanza convincenti, ci sono stati attacchi reali che hanno sfruttato queste vulnerabilità. Nel 2008, durante la campagna presidenziale statunitense, uno studente universitario di nome David Kernell è entrato nell'account email personale di Yahoo della candidata alla vice-presidenza Sarah Palin. Non ha usato uno strumento di hacking sofisticato o una vulnerabilità online che non fosse stata patchata in tempo. Ha utilizzato la funzione di recupero password di Yahoo, ha cercato la data di nascita e il CAP di Palin su Wikipedia e ha risposto alla sua domanda di sicurezza—dove aveva incontrato suo marito. L'intero hack ha richiesto meno di 45 minuti, secondo un post su 4Chan fatto dall'hacker, come riportato da Wired.
Un altro esempio importante è l'attacco a Paris Hilton del 2005, quando degli hacker hanno avuto accesso al suo account T-Mobile Sidekick resettando la sua password tramite una domanda di sicurezza che chiedeva il nome del suo animale domestico preferito. Il chihuahua di Hilton, Tinkerbell, era a sua volta una piccola celebrità. La risposta in questo caso era fondamentalmente di dominio pubblico e, nel giro di poche ore, le foto private di Hilton, i numeri di telefono di celebrità e gli appunti personali erano ovunque su internet.
Entrambi questi casi evidenziano il problema delle domande di sicurezza. Esse presumono che le risposte siano private, ma in un'epoca di condivisioni eccessive sui social media e di documenti pubblici facilmente accessibili, tale supposizione è ormai superata. Questo è ovviamente peggio per celebrity e figure pubbliche, ma solo perché non hai milioni di follower sui social media non significa che tu sia al sicuro.
I social media hanno reso le domande di sicurezza molto meno sicure
Come l'eccessiva condivisione alimenta il dirottamento degli account
Con i social media, le domande di sicurezza si sono trasformate in un libro aperto. Post su animali domestici, città natale, cibi preferiti e persino mascotte del liceo sono routine, e sono tutti argomenti comuni per le domande di sicurezza. Gli attaccanti ora non devono nemmeno essere particolarmente astuti o abili. Pochi minuti di osservazione del profilo social di qualcuno possono fornire le risposte alla maggior parte delle domande di sicurezza standard.
Le probabilità per un aggressore aumentano con l’ingegneria sociale. Un aggressore potrebbe chiamarti o inviarti un’email convincente fingendo di essere dalla tua banca, dal tuo datore di lavoro o da un team di supporto tecnico, e ottenere facilmente le risposte di cui ha bisogno durante quella che sembra una conversazione di routine. È un attacco a bassa tecnologia che gioca con la fiducia umana più che con le vulnerabilità tecniche, e funziona in modo sorprendentemente efficace.
Le domande di sicurezza appartengono al passato
Oggi ci sono metodi di autenticazione migliori da usare
Usare l'autenticazione a due fattori (2FA) ovunque possibile è il modo migliore per proteggersi. Un'app di autenticazione come Proton Authenticator, Google Authenticator o 2FAS genera codici monouso basati sul tempo sul tuo telefono che scadono ogni 30 secondi. A differenza delle domande di sicurezza, questi codici non possono essere indovinati navigando sui tuoi social media o scavando nei tuoi archivi pubblici. Per una protezione ancora più forte, le chiavi di sicurezza fisiche come YubiKey sono completamente resistenti al phishing. Certo, puoi intercettare gli attacchi di phishing con ChatGPT, ma è meglio evitarli del tutto.
La maggior parte dei servizi moderni ha abbandonato le domande di sicurezza a favore della 2FA, ma se un servizio ti costringe comunque, considera la risposta come una password. Invece di digitare semplicemente la risposta alla domanda, usa una stringa di lettere, numeri e caratteri e memorizzala in un gestore di password. La risposta non deve avere senso; deve solo essere qualcosa che conosci solo tu.
Ad essere onesti, le domande di sicurezza hanno avuto il loro tempo, ma quel tempo ora è passato. Sono state progettate per un'epoca prima che i social media e le informazioni pubbliche fossero così facili da accedere, e prima che gli hacker si rendessero conto che il modo più semplice per violare un account non è tramite le password, ma attraverso tutto ciò che hai già detto al mondo su te stesso.