Mercoledì, un tribunale federale di Seattle ha chiuso uno dei più grandi casi di violazione dei dati degli ultimi tempi. Connor Riley Moucka, 26 anni, di Kitchener, Ontario, si è dichiarato colpevole di frode informatica, frode telematica, furto aggravato d’identità e associazione a delinquere per una serie di attacchi informatici condotti nel 2024, che ha colpito almeno 165 organizzazioni ed esposto i dati di almeno 100 milioni di persone. Ha intascato personalmente almeno 495.000 dollari tra riscatti e vendita di dati. La sentenza è prevista per il 27 ottobre; rischia una pena minima obbligatoria di due anni solo per il capo d’accusa relativo al furto d’identità, con una pena massima fino a 30 anni per gli altri reati.

Questi sono i numeri da prima pagina. Il dettaglio su cui vale la pena soffermarsi è più piccolo e molto meno cinematografico: secondo i procuratori, ciò che ha permesso a Moucka di entrare sono state vecchie password. Non una vulnerabilità zero-day. Non una falla nella piattaforma presa di mira, che il Dipartimento di Giustizia non ha ancora nominato pubblicamente (Snowflake e la società di risposta agli incidenti Mandiant avevano dichiarato il proprio coinvolgimento già nel 2024, collegando il caso all’ondata di violazioni contro gli account dei clienti Snowflake di quell’anno). Le credenziali erano state raccolte anni prima da malware infostealer, erano rimaste inutilizzate e senza essere sostituite, e hanno sbloccato account sui quali, per di più, l’autenticazione a più fattori era disattivata.

Perché «senza essere sostituite» è l’espressione più importante di quella frase

Il malware infostealer è una categoria di software dannoso che, una volta installato su un dispositivo — spesso tramite un’app piratata, un falso aggiornamento del browser o un allegato malevolo — sottrae silenziosamente tutte le credenziali presenti nei moduli di compilazione automatica e negli archivi delle password salvate del browser della macchina, per poi inviarle a chi gestisce il malware. Non è qualcosa di nuovo o esotico; da anni è un servizio criminale alla portata di tutti, con raccolte di credenziali rubate acquistate e vendute all’ingrosso.

L’aspetto che rende il caso Snowflake un utile esempio didattico è il divario tra il furto e l’uso. Secondo quanto riferito, quelle specifiche password erano state raccolte «anni prima». Ciò significa che per molto tempo i titolari di quegli account hanno avuto una credenziale compromessa ancora attiva in un database da qualche parte, senza che nulla li obbligasse a cambiarla. Nessun tentativo di accesso è stato segnalato come sospetto, perché l’aggressore non ci stava ancora provando. Nessun ripristino della password è stato avviato, perché non c’era alcuno sfruttamento attivo che qualcuno potesse notare. La credenziale è rimasta lì, valida, finché qualcuno ha deciso di usarla su larga scala contro gli account dei clienti Snowflake.

Questo è il meccanismo di malfunzionamento che creano le password riutilizzate e mai sostituite: non è detto che siano deboli — il malware infostealer raccoglierà volentieri anche una password robusta e unica, direttamente dal deposito delle password salvate del browser. Il problema è che una password rubata non ha una data di scadenza, a meno che non sia una persona o una policy ad assegnargliene una. Una violazione del 2021 può ancora aprire porte nel 2024 se nel frattempo nessuno ha mai sostituito la credenziale.

La seconda serratura che non c’era

L’altro dettaglio evidenziato dai procuratori — l’autenticazione a più fattori disattivata sugli account interessati — è ciò che ha trasformato una password rubata nell’accesso completo all’account. L’autenticazione a più fattori è pensata esattamente per questo scenario: parte dal presupposto che prima o poi le password finiranno per essere divulgate e aggiunge una seconda prova d’identità (un codice, una notifica push, una chiave hardware) che una password rubata, da sola, non può fornire. Quando è disattivata, una credenziale divulgata costituisce l’unica barriera. Le analisi sull’ondata più ampia di violazioni collegate a Snowflake nel 2024 hanno rilevato che molti degli account interessati non avevano l’autenticazione a più fattori attivata per impostazione predefinita, il che significava che l’attivazione dipendeva dal fatto che ogni organizzazione cliente la abilitasse attivamente.

Cosa significa davvero per te

La maggior parte dei lettori di questa newsletter non gestisce un data warehouse Snowflake, ma i meccanismi in gioco qui si applicano a qualunque account possiedi, ovunque:

  • Considera compromesse le vecchie password, non soltanto deboli. Se hai riutilizzato una password su più siti e non l’hai cambiata da allora, considerala bruciata — non perché qualcuno l’abbia indovinata, ma perché potrebbe già trovarsi in un elenco di credenziali rubate che non vedrai mai.
  • Sostituisci le credenziali dopo che un servizio che utilizzi comunica una violazione — anche se ti viene detto che il tuo account specifico «non è stato interessato». Le comunicazioni iniziali sulle violazioni sono spesso incomplete mentre le indagini proseguono.
  • Attiva l’autenticazione a più fattori ovunque sia offerta e non dare per scontato che un servizio la abiliti per impostazione predefinita. Controlla direttamente le impostazioni di sicurezza dell’account invece di fidarti del fatto che l’opzione più sicura sia già attiva.
  • Un gestore di password risolve la causa alla radice, non soltanto il sintomo: rende le password uniche e non riutilizzate la scelta più semplice, invece di trasformarle in qualcosa che devi ricordarti di fare.
  • Se un dispositivo potrebbe essere stato infettato da un malware infostealer (un programma sconosciuto installato, un download piratato, un avviso di accesso sospetto), sostituire in seguito tutte le password salvate — non solo quella che pensi fosse importante — è l’unico modo per sapere che una vecchia infezione non stia ancora fruttando per chi ha raccolto i dati.

La discrepanza è la lezione

C’è qualcosa di quasi scomodo in un caso dalle conseguenze così rilevanti — una pena massima di 30 anni, una pena minima obbligatoria, i dati di 100 milioni di persone — fondato su un meccanismo così banale. Nessuna catena di exploit, nessuna tecnica innovativa, solo una password che nessuno si è preso la briga di cambiare e un’impostazione di sicurezza che nessuno ha attivato. È proprio questa discrepanza a rendere il caso degno di essere ricordato quando i titoli sulla sentenza saranno svaniti: le violazioni più grandi di solito non hanno bisogno di un aggressore brillante. Hanno bisogno di una sola credenziale mai sostituita, presente su un account sul quale l’autenticazione a più fattori non è mai stata attivata.