Professione IT Security: Furto di identità

Uno dei pericoli nell'uso delle tecnologie informatiche soprattutto online è il furto di identità, cioè la sottrazione di credenziali atte a identificare utenti di servizi informatici e il loro uso per impersonare il legittimo proprietario di queste identità.

Esempi di furti di identità e loro utilizzo

In ordine di pericolosità crescente, dal più innocuo al più dannoso.

username e password di accesso a Social Network:

usati per impersonare il soggetto colpito, scrivendo messaggi o commenti considerati autentici all'insaputa della vittima, solitamente a scopo diffamatorio

password dell'account email:

usata per inviare messaggi ai contatti della rubrica,
usata per inviare messaggi spam

password di accesso a servizi di Home Banking:

usata per truffe a carattere economico, sottrazione di denaro dal conto corrente della vittima

numero e codici operativi della Carta di credito:

usata per truffe a carattere economico, acquisti illeciti a spese della vittima

Possibili contromisure preventive

per servizi online protetti solo da username/password (Email, Home Banking) e la Carta di credito:

attivare se possibile l'autenticazione a due fattori, esempio:

one time password tramite messaggio sul cellulare
autenticazione tramite token o certificato digitale
autenticazione biometrica (impronte digitali, iride)

attivare se possibile notifiche degli accessi tramite messaggi sul cellulare
non utilizzare questi servizi in caso di connessione WiFi pubblica o semi-pubblica (es. bar, ristoranti, biblioteche), su computer pubblici o condivisi (es. biblioteche, ambienti lavorativi) o comunque in situazioni in cui il rischio di sniffing del traffico da parte di altri utenti è solitamente molto alto

in ogni caso:

impostare password non facilmente vulnerabili
non comunicare mai le password, né direttamente (tramite messaggi) né indirettamente (lasciandole scritte in giro)
usare password diverse fra loro per i servizi più importanti, e soprattutto diverse da quelle usate su social network e altri servizi di minore importanza
non memorizzare le password su servizi in cloud (es. Dropbox, Box e simili)
digitare username/password solo su pagine web munite del contrassegno https (solitamente un lucchetto verde)
cambiare periodicamente le password

Possibili azioni in caso di violazione dell'identità

disattivare immediatamente l'accesso alla risorsa, esempio:

comunicare alla banca la violazione, disconoscere le operazioni illecite e far bloccare ulteriori accessi, fino a risoluzione del caso

denunciare il fatto alle Autorità di Polizia, anche allo scopo di recuperare le somme eventualmente oggetto di frode

in ogni caso, cambiare le password e le altre credenziali di accesso

comunicare alle altre potenziali vittime l'accaduto, in modo che possano prendere le opportune misure preventive e correttive

Risorse e riferimenti

programmi per il controllo delle password

Esistono molti programmi per la misurazione della robustezza di una password. Questo strumento online ne è un esempio. Non sottoponete mai le vostre password a siti online, usate questi siti per capire se alcune varianti delle vostre password sono deboli.