I proprietari delle piccole imprese e i loro impiegati hanno tanto da fare ogni giorno, di conseguenza la sicurezza del sito internet tende a non essere una priorità. Come risultato accade che il 43% dei cyber attack vengono indirizzati sulle piccole imprese.
Quando si parla di vulnerabilità della sicurezza online, gli attacchi brute force (o brute force attacks) sono uno dei metodi più utilizzati dagli hacker.
Gli attacchi brute force sono utilizzati per ottenere l’accesso di un sito internet a livello di amministratore, in modo da ottenere informazioni sensibili attraverso la craccaggio delle password.
Questo tipo particolare di cyber attacco si stima sia cresciuto del 400% nel 2017. Al fine di proteggere la tua piccola impresa, questo articolo di aiuterà a capire come funziona un attacco brute force e come sia possibile prevenire gli attacchi sul tuo sito.
Attacco brute force: che cos’è?
Con brute force attack si intende quanto un hacker utilizza il metodo “trial-and-error” (tradotto in italiano, tentativo ed errore) per guadagnare l’accesso a un account autorizzato. Questo potrebbe riguardare la crack delle password o del numero di identificazione personale (PIN), a seconda della situazione. La maggior parte degli attacchi a forza bruta sono automatizzati – quindi qualsiasi tipo di azienda, sia grossa che piccola, può essere attaccata. Secondo quanto sostiene Rob Shapland, il principale consulente per la cyber sicurezza presso la First base Technologies LLP, gli attacchi brute force sono tra i più comuni e con ogni probabilità quelli meglio riconoscibili.
Se il tuo sito è carente in termini di sicurezza e protezione, gli hacker troveranno facilmente un modo per penetrarlo.
Gli attacchi a forza bruta sono spesso utilizzati dai cyber criminali per craccare dati criptati e rubare informazioni per scopi di frode. (Vale comunque la pena sottolineare che non tutti gli attacchi a forza bruta hanno intenti malevoli – possono anche essere usati da analisti della sicurezza per testare la sicurezza del network.)
Come funziona un attacco brute force?
Capire in che modo funziona un attacco brute force e come si sviluppa non è complicato – è un modo per proteggere te stesso e rendere la vita più difficile agli hacker.
Qualsiasi sito internet con una pagina di login (o una protezione con password o qualcosa di simile) è un potenziale target per questo tipo di attacchi.
Queste pagine admin dei content management system (CMS) sono tra le più attaccate:
- Le pagine di login WordPress wp-admin o wp-login.php
- Le pagine admin di Magento /index.php
- Le pagine Joomla! administrator
- vBulletin admincp
Quando un hacker vuole ottenere l’accesso al tuo sito, l’account di un utente o altre info criptate, deve per forza fare qualcosa per decriptare o sbloccare queste informazioni.
Il processo comincia provando diverse combinazioni di password. Questo va avanti finché non riesce effettivamente a decriptare con successo le informazioni desiderate. Ci sono migliaia di possibili combinazioni di password per un singolo account. La lunghezza standard più corta di una password è di otto caratteri.
Molti siti internet impongono delle misure di sicurezza addizionali, aggiungendo complessità alle password degli utenti (ad esempio l’utilizzo di maiuscole e minuscole, combinazioni alfanumeriche e caratteri speciali). Questi semplici accorgimenti possono trasformare una password semplice con migliaia di combinazioni a un’altra che ne comprende milioni di milioni. Se hai una password semplice, ti suggeriamo di leggere la nostra guida per creare password sicure.
Ovviamente per un hacker esperto si tratta solo di qualche lungaggine perché, con gli strumenti giusti e la conoscenza adeguata, può comunque penetrare nel sito. Esistono infatti tantissimi tool che riescono a generare migliaia di password possibili provandone l’efficacia nel giro di qualche secondo.
Il motivo che sta dietro agli attacchi a forza bruta
Gli attacchi brute force danno agli hacker accesso illegale a siti internet che contengono dati sensibili (come i dati della carta di credito). I loro sforzi possono sia mandare offline il sito o conquistare l’accesso agli account degli utenti (e le loro relative informazioni).
L’attacco brute force a GitHub del 2013 viene considerato il più grande attacco a forza bruta mai registrato nella storia recente. Tantissimi account sono stati compromessi: c’erano 40.000 indirizzi IP di hacker coinvolti nell’attacco, che hanno operato prima su chi aveva una password debole. Dopo l’attacco, GigHub ha predisposto un’autenticazione a due fattori per gli account dei propri utenti.
Nell’aprile dello stesso anno Cloudflare, un servizio di sicurezza e prestazioni web molto noto, ha bloccato circa 60 milioni di richieste brute force su WordPress nel giro di un’ora. Nonostante ciò, decine di migliaia di siti internet sono stati attaccati con successo. A seguito di questi attacchi anche WordPress ha adoperato l’autenticazione a due fattori.
Come prevenire un attacco forza bruta
Quanto segue rappresenta la più semplice precauzione che ogni utente può prendere per difendersi dagli attacchi a forza bruta:
- Usare password più lunghe (oltre gli 8 caratteri di default)
- Usare combinazioni di maiuscole e minuscole
- Usare password alfanumeriche (con numeri e lettere)
- Aggiungere caratteri speciali (es esempio ! & $ e via dicendo)
- Limitare il numero di tentativi di login
- Usare i CAPTCHA
- Abilitare l’autenticazione a due fattori
La tua prossima miglior scommessa?
Utilizzare tool di sicurezza potenti con specifiche che consentono di prevenire gli attacchi brute force.
Questi strumenti possono rifiutare l’accesso a un utente (hacker) dopo un numero limitato di tentativi falliti di login, cosa che ne limita il raggio d’azione:
Sucuri Security
Il plugin Sucuri Security per WordPress (gratuito) offre sicurezza ai siti internet con caratteristiche specifiche che includono anche l’auditing security activity, il monitoraggio dell’integrità dei file, lo scanning profondo dei malware, il rafforzamento della sicurezza e notifiche di sicurezza. La versione premium di questo plugin da rate molto alto contiene anche un firewall per siti internet.
Wordfence Security
Per la sicurezza del tuo sito, realizzato con il CMS WordPress, E2 ICT ti consiglia di installare e configurare il plugin WordFence, un tool gratuito che mette le tue pagine web al riparo da eventuali attacchi informatici e che, nel contempo, rende il sito più performante.
Un altro modo per proteggere il tuo sito internet e quello di programmare dei backup regolarmente.
Avere un backup è cruciale per ripristinare il tuo sito internet dopo un tentativo di hackeraggio o dopo un danno accidentale.
Conclusioni
Le attività di cyber criminalità stanno diventando sempre più comuni e nemmeno le piccole imprese possono sentirsi tranquille e al riparo. Dal momento stesso in cui apri un sito internet, sei un potenziale target per un attacco. Non aspettare a prendere le giuste contromisure quando ormai è troppo tardi – agisci ora.
