Nella vita falla semplice. Ma non con le password!

Tratto da: Blog Kaspersky

Autore: Daniela Incerti – 09/11/2020

Semplici o complesse? Con caratteri speciali o senza? Ecco quanto ci mettono gli hacker a trovare le vostre password!

Vi siete mai chiesti quanto tempo può metterci un hacker o un cybercriminale a decifrare le vostre password?

I vostri account social, di gioco o di lavoro vi sembrano essere al sicuro?
E se invece scopriste che la vostra password potrebbe essere decifrata in pochi secondi?

È sempre meglio usare password variegate, fantasiose, non solo nei caratteri ma anche nei simboli, numeri, caratteri speciali, e chi più ne ha più ne metta. Sembra un assunto semplice, intuitivo e diretto, ma non è così.

Al primo posto troviamo “123456″. Questa password è hackerabile in meno di 1 secondo. Al secondo e terzo posto l’intramontabile “123456789” e subito dopo “qwerty“. Al quarto posto troviamo “password“, hackerabile in 1 secondo, e non ci son maiuscole che tengano: “PaSsWoRD” la troverebbero in 4 secondi.

Attenzione però: la sicurezza online non è un gioco!

Proprio per questo Kaspersky mette a disposizione Password Checker, uno strumento che permette di verificare quanto sia “sicura” la propria password e offre tutta una serie di utili consigli su come crearla a prova di cybercriminale.

Giocandoci un po’ si potrà subito capire come l’utilizzo di caratteri speciali è utilissimo per rendere la propria password più sicura. Alcuni semplici esempi potrebbero essere “TuoNome”, decifrabile in 2 giorni, contro i 4 anni che ci vorrebbero per scoprire “TuoNome80!”
Quindi, meglio metterci un po’ più di tempo e generare una password sicura, che crearne una troppo semplice e vulnerabile, correndo il rischio di farsi rubare il proprio account con all’interno informazioni di pagamento, contatti e dati sensibili.

Ci teniamo a specificare che, sebbene Password Checker fornisca preziose indicazioni su come generare password “forti”, non può sostituire in toto l’intelligenza umana. Ad esempio, se la password del vostro account di incontri online è il vostro nome seguito dal vostro cognome e anno di nascita, magari un programma la troverà in 4 anni, ma il vostro fidanzato o la vostra fidanzata ci metterà molto, molto meno.

Sfruttando queste conoscenze, diventa imperativo avere password variegate nei caratteri, maiuscole, minuscole e simboli. Soprattutto è preferibile avere password diverse per account diversi, nell’evenienza in cui la nostra password dovesse essere hackerata o rivelata.

Quindi qual è la soluzione migliore?

Abbiamo capito quali password sarebbe meglio non utilizzare e anche quali potrebbero essere così deboli da essere scoperte in pochi secondi.

Purtroppo, la soluzione è anche la più complessa: una password per essere sufficientemente sicura dovrebbe contenere numeri, lettere minuscole, lettere maiuscole, punti esclamativi, interrogativi e simboli; dovrebbe essere lunga almeno 8 caratteri e dovresti renderla memorizzabile. La simpatica password 12345-humpty-dumpty-satonthe-firewall e la folle combinazione ?Y]G9gWJ48zYkFBc@{nKw!’q hanno più o meno la stessa forza, ma è difficile che tu possa ricordarti la seconda.

Come sarà mai possibile ricordarsi una password del genere, diversa per ogni account?
Lasciate perdere penna e taccuino (che comunque è un metodo per ricordarsi le password MOLTO PERICOLOSO).

Kaspersky corre in soccorso con lo strumento perfetto: il Password Manager incluso all’interno di Kaspersky Total Security che ti permette di sincronizzare le tue password ovunque esse siano: su PC, Mac, iOS e Android. Così da non perdertene più neanche una! È un programma sicuro in grado di gestire e memorizzare le password più complesse per accedere alla tua vita online, ed essere sicuri di non dimenticare mai più una password, rendendo l’esistenza di chiunque voglia accedere ai tuoi dati un autentico calvario.

Kaspersky Password manager: molto più di un gestore di Password

Quando esegui l’accesso a un sito, il Password Manager di Kaspersky ti proporrà l’inserimento automatico, così da rendere l’esperienza online più fluida, senza interruzioni.

Oltre a salvare le password, quando apri un nuovo account, il Password Manager grazie a un “motore genera password” te ne creerà una sicura e complessa. Come ricordartela? Nessun problema, te la ricorda il software.

Password Manager non solo crea, salva, memorizza e sincronizza le tue password: ma anche documenti sensibili come foto e PDF, i dati della tua carta di credito e gli indirizzi. Così, in caso di spese online, potrai concentrarti su ciò che ti piace davvero.

Per ulteriori informazioni: dircom@argonavis.it

Con il Fondo per la formazione, Kaspersky Automated Security Awareness & Kaspersky Adaptive Online Training

Redazione Argonavis

E’ stato pubblicato sul sito dell’ANPAL (Agenzia Nazionale Politiche Attive del Lavoro) il bando per il fondo di formazione dei dipendenti delle aziende private.

Sono risorse messe a disposizione entro il 31 Dicembre 2020 per progetti di formazione. Al link di seguito tutti i dettagli:https://www.anpal.gov.it

Vista la situazione sia economica che congiunturale, questa è certamente un’opportunità per far crescere la cultura e la consapevolezza dell’importanza della formazione in ambito Security all’interno di qualsiasi tipo di struttura ed attività.

Kaspersky propone al riguardo due soluzioni per la formazione:

KASAP (Kaspersky Automated Security Awareness)
KAOT (Kaspersky Adaptive Online Training).

Per ulteriori informazioni: dircom@argonavis.it

I suggerimenti del Garante per tutelare la tua privacy quando usi delle app

Tratto da www.garanteprivacy.it

Le app sono strumenti presenti ormai su numerosi dispositivi e strumenti digitali che si utilizzano quotidianamente (smartphone, tablet, pc, dispositivi indossabili, smart car, smart TV, dispositivi domotici, console per videogiochi) e offrono una vasta gamma di servizi, dalla messaggistica agli acquisti online, dalle videochiamate all’home banking, dalla formazione alla misurazione di parametri sportivi e sanitari, dalla prenotazione di viaggi e alberghi ai giochi, dalla gestione da remoto di dispositivi domotici (aspirapolvere, antifurto, illuminazione, ecc.) ai giochi, dai servizi della pubblica amministrazione alla gestione delle diete alimentari. Sono strumenti utili, divertenti, a volte indispensabili.

Ma non sempre quando si utilizza una app ci si preoccupa anche di tutelare la propria privacy.

Per proteggere i nostri dati personali e la nostra vita privata occorre quindi conoscere alcune regole fondamentali e mettere in campo adeguate cautele. Vediamo quali.

Prima di installare una app, cerca di capire quanti e quali dati verranno raccolti e come verranno utilizzati, consultando l’informativa sul trattamento dei dati personali.

In particolare, verifica:

chi tratterà i tuoi dati personali e con quali finalità;
per quanto tempo verranno conservati i dati personali che ti riguardano;
se i tuoi dati potranno essere condivisi con terze parti per finalità commerciali o di altro tipo.

Se per il download dell’app o per la sua installazione è prevista una registrazione, limitati a fornire i dati personali strettamente necessari all’attivazione del servizio.

Verifica se alcune informazioni raccolte dall’app possono essere diffuse automaticamente online (ad esempio, se è possibile che l ’app produca post automatici sui social media) e – nel caso le impostazioni lo prevedano – valuta se disattivare questa funzionalità.

Potresti infatti rivelare involontariamente a tutti informazioni personali.

In generale, è bene evitare di memorizzare nella app i dati delle credenziali di accesso (username, password, PIN) di carte di credito e sistemi di pagamento. I malintenzionati sono sempre in agguato.

Una app può richiedere accesso alle immagini e ai file che conservi in memoria, ai contatti in rubrica, ai dati sulla geolocalizzazione (cioè dati che contengono informazioni sulla tua posizione in un dato momento e suoi tuoi spostamenti), al microfono e alla fotocamera dei tuoi dispositivi.

Valuta sempre con attenzione se consentire l’accesso a determinate informazioni e funzionalità. Se una app richiede obbligatoriamente accesso a dati e funzionalità non strettamente necessari rispetto ai servizi offerti, evita di installarla.

IMPORTANTE: Occorre fare particolare attenzione alle app che, grazie all’impiego dell’intelligenza artificiale, consentono di modificare foto e video (ad esempio, per invecchiare i volti), inserire la propria faccia sui corpi altrui (ad esempio, di personaggi famosi) oppure trasformare il genere sessuale (da uomo a donna e viceversa). Le immagini e le informazioni raccolte in questo modo potrebbero essere utilizzate anche da malintenzionati per fini dannosi per la dignità e la reputazione delle persone, come avviene nel fenomeno del deep fake (creazione di foto e video falsi a partire da immagini vere).

In ogni caso:

se la app chiede accesso alla fotocamera o all’archivio di immagini del tuo smartphone, pc o tablet, verifica che siano spiegati in modo chiaro dal fornitore della app tutti i possibili utilizzi delle tue immagini;
ricorda che dai volti si può risalire a informazioni di natura sensibile come i dati biometrici, che potrebbero anche essere utilizzati da malintenzionati per finalità illecite (basti pensare ai dati biometrici del volto, già oggi utilizzati, ad esempio, come password per l’accesso agli smartphone) o ceduti a terzi per finalità ignote.

Alcuni spunti di riflessione

Molte app, tra cui quelle social, possono individuare e condividere con terzi la tua posizione e i tuoi spostamenti nel tempo, ad esempio utilizzando alcune funzioni del tuo smartphone. Se preferisci mantenere riservate queste informazioni, puoi disattivare la raccolta dei dati di posizione da parte delle singole app, modificando le impostazioni del tuo dispositivo relative ai servizi di geolocalizzazione.

Se utilizzi una app che prevede funzioni per la condivisione di foto e video sui social o tramite messaggistica, accertati sempre che le persone riprese siano d’accordo a diffondere online la propria immagine ed eventuali informazioni sulla loro vita privata.

Se usi una app per il dating (appuntamenti online), ricorda di informarti su come verranno trattate e conservate le informazioni che ti riguardano, e a chi verranno eventualmente resi noti aspetti della tua vita privata che potresti voler mantenere riservati.

Le app che misurano le tue prestazioni sportive o monitorano e registrano il tuo stato fisico (esempio: battito cardiaco, pressione, ecc.) sono in grado di raccogliere dati sensibili che potrebbero essere trasmessi a terzi per finalità non sempre conosciute. Verifica quindi sempre quali informazioni possono essere rilevate e trattate dalla app, stabilisci tu con chi condividerle (ad esempio, scegliendo nelle impostazioni di renderle visibili a tutti, solo agli “amici” o a nessuno) e decidi eventualmente di disattivare la rilevazione e il trattamento dei dati non indispensabili per il servizio (ad esempio, si può scegliere di monitorare la durata e la distanza percorsa correndo o andando in bicicletta anche senza rilevare il battito cardiaco).

Ricorda che insieme alle app potresti scaricare inavvertitamente virus e malware pericolosi per la tua privacy

Per evitare rischi:

installa sul dispositivo che ospita le app anche un software antivirus in grado di proteggere i dati personali da eventuali violazioni;
imposta password di accesso sicure e aggiornale periodicamente;
aggiorna periodicamente la app: le nuove versioni contengono di solito anche miglioramenti sul fronte della sicurezza informatica;
non disattivare mai i controlli di sicurezza previsti dal tuo dispositivo, se non sei assolutamente consapevole di ciò che stai facendo;
fai sempre attenzione alla provenienza delle app. In particolare:
evita di scaricare app tramite siti web che non ti sembrano affidabili o cliccando link che ti vengono inviati tramite SMS o messaggistica. In generale, è meglio scaricare le app dai market ufficiali, che garantiscono la presenza di controlli da parte dei gestori del market sull’affidabilità dei prodotti e permettono di consultare le eventuali recensioni di altri utenti (sull’uso di una determinata app, sugli sviluppatori o sul market stesso) per verificare se sono, ad esempio, segnalati problemi riguardanti la sicurezza dei dati. Se il market prevede la creazione di un account, ricorda di informarti sempre su come tratterà i dati richiesti per la sua attivazione;
leggi con attenzione le descrizioni delle app che intendi installare (se, ad esempio, nei testi sono presenti errori e imprecisioni, c’è da sospettare).

Pensa ai rischi che possono correre i minori

Meglio evitare che i minori possano scaricare e utilizzare app da soli. I più giovani, infatti, sono meno consapevoli dei pericoli e più esposti al rischio di una raccolta e diffusione incontrollata di dati personali proprio dei familiari.

Inoltre, potrebbero diventare oggetto di attenzione di malintenzionati che cercano di contattarli, oppure fare involontariamente acquisti online o diffondere inconsapevolmente dati sensibili o informazioni sul conto bancario o la carta di credito dei genitori.

Se i minori utilizzano dispositivi quali PC, tablet, smartphone, smart TV, console per videogiochi, servizi di streaming online, usati anche da altri familiari, si può decidere di creare un profilo con impostazioni d’uso limitate, in modo che alcune delle app installate o alcuni contenuti non siano accessibili ai minori.

Nei casi in cui ci siano dubbi sull’effettivo rispetto delle norme o sul corretto uso dei propri dati personali, ci si può rivolgere al Garante per la protezione dei dati personali.

Per informazioni e tutela: www.garanteprivacy.it

Kaspersky: ecco i nuovi trend negli attacchi APT

Tratto da www.lineaedp.it

Redazione LineaEDP – 04/11/2020

I ricercatori di Kaspersky hanno studiato e individuato le nuove tendenze negli attacchi APT

Nel terzo trimestre del 2020, i ricercatori di Kaspersky hanno osservato una spaccatura nell’approccio adottato dai threat actor. Sono stati osservati diversi sviluppi nelle tattiche, tecniche e procedure (TTP) dei gruppi APT di tutto il mondo, oltre a campagne efficaci che utilizzano vettori di infezione e set di strumenti piuttosto banali.

Uno dei risultati più importanti del trimestre è stata una campagna condotta da un threat actor non ancora conosciuto che ha deciso di infettare una delle vittime utilizzando un bootkit personalizzato per l’UEFI, un componente hardware essenziale dei moderni dispositivi informatici. Questo vettore di infezione faceva parte di un framework a più stadi chiamato MosaicRegressor. L’infezione del UEFI ha reso il malware installato sul dispositivo più persistente ed estremamente difficile da rimuovere. Inoltre, il payload scaricato dal malware sui dispositivi di ciascuna vittima poteva essere diverso. Questo approccio flessibile ha permesso al threat actor di nascondere il suo payload in modo efficace.

Altri gruppi criminali si avvalgono della steganografia. In the wild è stato rilevato, in un attacco rivolto ad una società di telecomunicazioni europea, un nuovo metodo che abusa del binario Windows Defender firmato Authenticode, un programma integrale e approvato per la soluzione di sicurezza Windows Defender. Una campagna in corso, attribuita a Ke3chang, ha utilizzato una nuova versione della backdoor di Okrum. Questa versione aggiornata di Okrum abusa di un binario di Windows Defender firmato Authenticode attraverso l’impiego di una tecnica di side-loading unica nel suo genere. Gli aggressori hanno utilizzato la steganografia per nascondere il payload principale nell’eseguibile del Defender, mantenendone valida la firma digitale e riducendo così le possibilità di rilevamento.

Anche molti altri threat actor continuano ad aggiornare i loro toolset per renderli più flessibili e meno inclini al rilevamento. Diversi framework multistadio, come quello sviluppato dal gruppo APT MuddyWater, continuano ad apparire in the wild. Questo trend vale anche per altri malware come Dtrack RAT (Remote Access Tool), ad esempio, che è stato aggiornato con una nuova funzione che consente all’aggressore di eseguire diversi payload.

Tuttavia, alcuni gruppi criminali utilizzano ancora con successo catene di infezione a bassa tecnologia come ad esempio un gruppo di mercenari che i ricercatori di Kaspersky hanno chiamato DeathStalker. Questo gruppo APT si concentra principalmente su studi legali e società che operano nel settore finanziario, raccogliendo informazioni sensibili e preziose dalle vittime. Grazie all’impiego di tecniche per lo più identiche dal 2018 e ad una particolare attenzione ai metodi per eludere i sistemi di rilevamento, DeathStalker è stato in grado di portare avanti una serie di attacchi di successo.

“Mentre alcuni threat actor rimangono coerenti nel tempo cercando di sfruttare temi caldi come il COVID-19, per invogliare le vittime a scaricare allegati dannosi, altri gruppi reinventano sé stessi e i loro strumenti. Nell’ultimo trimestre abbiamo assistito all’ampliamento della portata delle piattaforme attaccate, ad un continuo lavoro sulle nuove catene di infezione e all’uso di servizi legittimi come parte della loro infrastruttura di attacco. In definitiva, per gli specialisti di sicurezza questo significa che i difensori dovranno investire diverse risorse nella caccia alle attività malevole in nuovi ambienti legittimi che in passato sono stati poco esaminati. Questo include malware scritti in linguaggi di programmazione meno conosciuti e veicolati attraverso servizi cloud legittimi. Il tracciamento delle attività degli attori e dei TTP ci permette di seguirli mentre adattano nuove tecniche e strumenti, e quindi di prepararci a reagire in tempo ai nuovi attacchi”, ha commentato Ariel Jungheit, Senior Security Researcher, Global Research and Analysis Team di Kaspersky.

È disponibile una sintesi delle tendenze APT dell’ultimo trimestre che riassume i risultati dei report di threat intelligence di Kaspersky relativi ai soli abbonati, oltre ad altre fonti che coprono i principali sviluppi di cui il settore aziendale dovrebbe essere a conoscenza. I report di threat intelligence di Kaspersky includono anche i dati sugli Indicatori di Compromissione (IoC), nonché le regole di Yara e Suricata per aiutare gli esperti forensi e supportare la caccia ai malware.

Per evitare di cadere vittima di un attacco mirato da parte di un attore noto o sconosciuto, i ricercatori di Kaspersky raccomandano di mettere in pratica le seguenti misure:

• Fornire al team SOC l’accesso alla threat intelligence più recente (TI). Kaspersky Threat Intelligence Portal offre un unico punto di accesso per la TI dell’azienda e fornisce i dati sugli attacchi informatici in corso e le informazioni raccolte da Kaspersky in oltre 20 anni di esperienza sul campo. È possibile accedere gratuitamente alle sue funzioni e controllare file, URL e indirizzi IP a questo link.
• Per la detection a livello endpoint, l’indagine e il ripristino tempestivo degli incidenti, è necessario implementare soluzioni EDR come Kaspersky Endpoint Detection and Response.
• Oltre ad adottare una protezione per endpoint è necessario implementare una soluzione di sicurezza di livello aziendale in grado di rilevare tempestivamente le minacce avanzate della rete, come Kaspersky Anti Targeted Attack Platform.

I dieci consigli per l’igiene cibernetica per le PMI in tempo di pandemia

Tratto da www.enisa.europa.eu

ENISA l’Agenzia europea per la sicurezza informatica pubblica dieci suggerimenti per l’igiene informatica a supporto delle PMI nella protezione dei loro beni virtuali dagli attacchi informatici, durante la pandemia di COVID-19.

Le crisi come l’attuale pandemia di COVID-19 hanno un grave impatto sulla società e sull’economia europea, nonché internazionale. Le piccole e medie imprese (PMI) affrontano spesso periodi difficili. Sfortunatamente, i criminali informatici spesso vedono tali crisi come opportunità. Gli attacchi di phishing e ransomware sono in aumento.

Le PMI si trovano anche di fronte a una nuova realtà in cui i dipendenti lavorano di più da casa. In questo modo diventano ancora più dipendenti dall’Information Technology (IT) di prima. Inutile dire che proteggere queste risorse virtuali è della massima importanza per quasi tutte le PMI.

Secondo l’ENISA, i dieci principali argomenti relativi all’igiene informatica che le PMI dovrebbero affrontare, possibilmente esternalizzando ove necessario, sono presentati di seguito:

Management buy-in. È importante che la direzione veda l’importanza della sicurezza informatica per l’organizzazione e che sia regolarmente informata.
Valutazione del rischio. La valutazione preliminare dello stato di sicurezza in azienda identifica e stabilisce le priorità: quali risorse proteggere prima di altre e da quali minacce?
Politica di cyber security. Predisporre le politiche necessarie per gestire la sicurezza informatica e nominare qualcuno, ad esempio un responsabile della sicurezza delle informazioni (ISO), responsabile della supervisione dell’attuazione di tali politiche.
Consapevolezza. I dipendenti devono comprendere i rischi e devono essere informati su come comportarsi online. Le persone tendono a dimenticare queste cose piuttosto rapidamente, quindi ripeterle ogni tanto può essere prezioso.
Aggiornamenti. Effettuare sempre tutti gli aggiornamenti consigliati in ogni server, workstation, smartphone, magari tramite processi automatizzati e di test.
Backup. Prima di eseguire questi aggiornamenti, è fondamentale disporre di buoni backup. Eseguire spesso il backup dei dati più importanti mette l’azienda al riparo dai costi di ripristino che potrebbero seguire ad un attacco ransomware. Si consiglia di conservare dei backup offline, controllare periodicamente il loro stato e duplicarli per una maggiore sicurezza.
Gestione degli accessi. Predisporre regole / politiche per la gestione degli accessi e applicarle. Assicurarsi che le password predefinite vengano modificate, ad esempio, che le password non vengano condivise, ecc.
Protezione endpoint. Proteggere gli endpoint, prima di tutto installando un software antivirus.
Accesso remoto sicuro. Limitare il più possibile l’accesso remoto e dove assolutamente necessario, abilitarlo ma in modo sicuro. Assicurarsi che la comunicazione sia crittografata correttamente.
Piano di gestione degli incidenti (Recovery). Predisporre un piano dettagliato su come gestire un incidente quando si verifica. Quali scenari potrebbero verificarsi e quali soggetti contattare?

Vi siete mai chiesti quanto tempo può metterci un hacker o un cybercriminale a decifrare le vostre password?

Kaspersky Password manager: molto più di un gestore di Password

Per evitare di cadere vittima di un attacco mirato da parte di un attore noto o sconosciuto, i ricercatori di Kaspersky raccomandano di mettere in pratica le seguenti misure:

Categorie