Alcuni ricercatori di sicurezza hanno individuato un archivio esposto online contenente 24 miliardi di record di credenziali rubate: nomi utente, password e altri dati sensibili di account. Non si tratta di un singolo nuovo attacco, ma di una colossale aggregazione di dati provenienti da fonti diverse, accessibile senza alcuna protezione a chiunque ne conoscesse l'indirizzo.
Una raccolta, non una nuova violazione
È importante chiarire la natura di questi mega-archivi, perché i numeri da soli rischiano di generare allarmismo o, al contrario, assuefazione. I 24 miliardi di record provengono da circa 36 fonti differenti: numerosi canali Telegram, precedenti compilation di data breach, ampie collezioni di log di infostealer e alcuni dataset apparentemente esportati direttamente da server attivi.
Ciò significa che gran parte di queste credenziali era già circolata in precedenza. Le compilation di questo tipo riciclano e accorpano materiale vecchio e nuovo, gonfiando le cifre con duplicati e voci ormai obsolete. Il valore reale per un attaccante, però, resta alto: avere tutto raccolto, indicizzato e ricercabile in un unico punto facilita enormemente attacchi automatizzati come il credential stuffing, in cui le stesse coppie utente-password vengono provate in sequenza su decine di servizi diversi.
Il ruolo degli infostealer
Una parte rilevante del materiale proviene da log di infostealer, malware progettati per sottrarre dati dai dispositivi infetti: password salvate nei browser, cookie di sessione, portafogli di criptovalute, credenziali di accesso. A differenza delle vecchie liste di password trapelate, i log degli infostealer sono spesso recenti e contengono credenziali ancora valide, perché sottratte direttamente dalle macchine delle vittime nel momento dell'infezione. Questo li rende particolarmente pericolosi: i cookie di sessione, in particolare, possono consentire l'accesso a un account scavalcando anche l'autenticazione a più fattori.
Come proteggersi
La presenza di una credenziale in un archivio di questo tipo non implica necessariamente che un account specifico sia stato violato di recente, ma è un buon promemoria per adottare le pratiche di igiene digitale fondamentali. La prima difesa è non riutilizzare mai la stessa password su servizi diversi: è proprio il riutilizzo a rendere efficaci gli attacchi di credential stuffing. Un gestore di password aiuta a generare e conservare credenziali uniche e complesse per ogni servizio.
Va poi attivata l'autenticazione a più fattori ovunque sia disponibile, preferendo le app di autenticazione o le chiavi hardware ai codici via SMS. È utile verificare periodicamente, tramite servizi affidabili di notifica delle violazioni, se i propri indirizzi e-mail compaiono in fughe note, e cambiare immediatamente le password risultate compromesse. Infine, poiché molti di questi dati nascono da infezioni da infostealer, mantenere i dispositivi puliti con un buon software di sicurezza ed evitare il download di programmi pirata o di provenienza dubbia è una protezione tanto banale quanto decisiva.
