Di tanto in tanto, assieme alle notizie relative ad app o estensioni manipolate o truffaldine, il mondo della sicurezza digitale vede emergere anche allarmi inerenti fughe di dati, con conseguente messa a disposizione degli stessi nei mercatini del dark web: proprio una circostanza del genere si è da poco verificata, a danno di milioni di utenti, secondo quanto rendicontato dal portale Cybernews.
I ricercatori del team Cybernews, nello specifico, hanno scoperto, in un forum online, opportunamente criptata e protetta da una password, una raccolta di database contenente, secondo l’interrogazione dello script count_total.sh, qualcosa come 3,27 miliardi di coppie formate da indirizzi email e password, relative a login di importanti siti (es. Linkedin, Gmail, Netflix, Exploit.in, etc), ottenute da domini di tutto il mondo, probabilmente nel corso di svariati data breach avvenuti nel corso degli anni.
La maxi raccolta, battezzata “COMB”, acronimo che sta per “Compilation of Many Breaches“, ricorda, per l’impiego degli script d’interrogazione delle mail (query.sh) e d’ordinamento dei dati (sorter.sh), la Breach Compilation del 2017 che, pur notevole, conteneva meno della metà in termini di credenziali in coppia (“solo” 1.4 miliardi).
Il pericolo di questa nuova raccolta scovata da Cybernews in rete consta in possibili attacchi di credential stuffing, posto che molto spesso si ricicla la stessa coppia di user e password, magari adoperata su Netflix, anche per siti più importanti, come quelli di posta elettronica, ipso facto bersagliata con attacchi di spam e di spear-phishing.
Il consiglio degli esperti, in merito alla raccolta COMB da 3.27 miliardi di credenziali, nel caso siano state esposte anche le proprie (dopo aver controllato su cybernews.com/personal-data-leak-check/), consiste nel cambiare (spesso) le password, scegliendone di univoche per ogni sito o servizio, magari memorizzandole con un gestore di password. Molto utile si rivela anche l’attivazione dell’autenticazione a due fattori e la prassi del disconnettersi nel caso si adoperi un dispositivo differente per accedere ai propri account.