"Milioni" di password rubate agli utenti Twitter

Nella giornata di ieri era circolata la notizia del furto di circa 32 milioni di password sottratte agli utenti Twitter e vendute nel mercato nero.

In seguito alla diffusione di tale rumor la compagnia è scesa in campo promettendo un'indagine per verificare quanto accaduto.

E la risposta che non è tardata ad arrivare: per mezzo di una nota divulgata pubblicamente la società ha confermato che il problema è reale, scrivendo che ha iniziato ad avvisare gli utenti i cui account potrebbero essere rimasti coinvolti nel furto di dati inviando loro una richiesta di modifica password per mantenere al sicuro i dati dell'account.

Twitter sottolinea che il furto di nomi utente e password non è avvenuto via attacco diretto ai server della società, ma probabilmente accumulando le informazioni provenienti da altre violazioni effettuate di recente o ottenute installando malware da remoto nei computer delle vittime:

A prescindere dalle origini del fenomeno stiamo agendo rapidamente per proteggere il tuo account Twitter

si legge nella nota pubblicata nelle scorse ore.

Come avvenuto in altri attacchi, la società ha confrontato i dati del furto con quelli proprietari per capire quali e quanti account siano coinvolti.

Al momento non sappiamo quanti siamo gli utenti coinvolti e gli account a rischio, tuttavia la società ha ammesso durante un'intervista con il Wall Street Journal che il numero è nell'ordine dei milioni. 

Twitter sta inviando delle e-mail ai proprietari degli account che potrebbero essere a rischio imponendo loro la modifica della password. Ma l'operazione potrebbe non bastare: come abbiamo scritto giovedì molti utenti utilizzavano password estremamente banali e facilmente individuabili da eventuali utenti malintenzionati con metodologie non troppo complesse o costose.

Twitter dà infatti tre consigli per mantenere al sicuro il proprio account, che possono essere sfruttati anche per altre tipologie di servizi online laddove disponibili:

1. abilitare la verifica del log-in, come ad esempio l'autenticazione a due passaggi;
2. utilizzare una password forte, diversa dagli altri siti;
3. utilizzare un password manager, un software che crea password inespugnabili e diverse per ogni servizio. Nella nota si sottolinea che "la sicurezza degli account è una priorità in Twitter", e che il team di sviluppo utilizza varie pratiche per mantenere i dati degli utenti al sicuro. Fra queste l'uso del protocollo HTTPS su tutte le parti fondamentali e della crittografia bcrypt per i dati d'accesso. In più la società utilizza anche altri dati per verificare l'attendibilità dell'accesso, individuando quelli sospetti ad esempio analizzando i dati di geolocalizzazione del dispositivo e inviando una notifica di modifica password nel caso in cui sia stato verificato un comportamento anomalo.

Insomma, si punta ancora una volta il dito ad inottemperanze da parte degli utenti, i quali continuano a scegliere password con leggerezza anche per proteggere dati molto importanti.