- click per ingrandire -

Ci vogliono anni per rendersi conto di quanta roba abbiamo accumulato. Compri un gioco scontato a cinque euro un martedì sera piovoso, riscatti una serie TV digitalizzata per pura pigrizia, aggiungi qualche espansione qua e là, ed ecco che senza accorgertene...

La Biblioteca di Alessandria!

E se qualcuno dovesse intrufolarsi nel tuo account, cambiarti la password, disconnettere i tuoi dispositivi e strapparti di mano il controllo totale? L'ansia per i dati della carta di credito dura poco – dopotutto la blocchi dall'app della banca in un paio di minuti netti. Ma che fine fanno tutti quegli anni e anni di acquisti accumulati a suon di clic?

Migliaia di euro in pixel

La percezione del denaro speso tende a svanire nel momento esatto in cui la transazione avviene con un clic veloce dal telefono. Un paio di acquisti al mese durante i saldi stagionali sembrano poca cosa, ma moltiplicati per dieci anni trasformano una libreria Steam, un catalogo VOD, una piattaforma di e-book o un account di gioco in una cassaforte da diverse migliaia di euro.

Quando i ladri di credenziali mettono le mani su un profilo strutturato, l'obiettivo non è quasi mai quello di godersi i film in streaming o di scalare le classifiche competitive dei videogiochi. Esiste un mercato nero estremamente redditizio dove gli account con librerie ricche vengono svuotati degli oggetti di valore inventariati, spogliati delle carte regalo residue, impiegati come teste di ponte per inviare link malevoli ad altri utenti e infine rivenduti all'asta per pochi spiccioli a acquirenti compiacenti.

La trappola del riutilizzo della solita chiave

La maggior parte delle violazioni che portano alla perdita definitiva di una libreria digitale nasce dalla compravendita di vecchie fughe di dati avvenute su forum dimenticati, app per il fitness, siti di e-commerce minori o blog di cucina dove ci si era registrati un decennio fa usando la medesima combinazione di email e parola chiave.

I bot automatizzati prendono questi elenchi smisurati di credenziali trapelate e tentano l'accesso in parallelo su centinaia di servizi diversi. Basta un singolo punto debole nella tua cronologia di navigazione per spalancare la porta della tua collezione digitale. Per evitare che la violazione di un sito secondario mandi in fumo anni di acquisti, la regola d'oro è spezzare del tutto la catena dell'equivalenza. Delegare la creazione e la custodia di credenziali complesse a un gestore password permette di assegnare a ciascun servizio una chiave unica e del tutto slegata dalle altre, rendendo del tutto inefficaci gli attacchi di tipo credential stuffing.

Passi pratici per mettere in sicurezza i tuoi cataloghi

Attivare l'autenticazione a due fattori basata su un'applicazione di autenticazione anziché sui classici messaggi SMS rappresenta il primo sbarramento fondamentale contro le intrusioni indesiderate. I messaggi SMS per la verifica in due passaggi sono ormai un colabrodo. Bastano pochissimi minuti a un malintenzionato che conosce le tecniche di SIM swapping – magari sfruttando la superficialità di un centro telefonico per farsi clonare la scheda – per farsi recapitare i tuoi codici di sblocco dritti sul suo schermo. Molto meglio affidarsi a un'app di autenticazione installata direttamente sul dispositivo.

Poi ci sono quei benedetti codici di ripristino monouso che le varie piattaforme ti mostrano una volta sola durante la registrazione iniziale. Stampali su carta oppure annotali a penna su un taccuino da tenere in cassetto, perché se lo smartphone decide di smettere di funzionare la domenica mattina, quelli rimangono l'unico lasciapassare. Vale anche la pena fare un po' di manutenzione periodica senza diventare paranoici: apri le opzioni di sicurezza, controlli la lista dei dispositivi collegati, revochi i permessi alle app di terze parti rimaste dimenticate per anni, chiudi le vecchie sessioni aperte sul computer dell'ufficio e stacchi i metodi di pagamento rapido dalle piattaforme che non usi tutti i giorni.

“AV Magazine non ha partecipato alla realizzazione di questo contenuto e non verifica in modo indipendente le eventuali affermazioni commerciali in esso contenute.”