Mancata adozione di misure soddisfacenti (art. 32 GDPR) a far fronte agli attacchi di credential stuffing sul sito web del responsabile del trattamento: con questa motivazione, la CNIL (l’Autorità Garante privacy francese) ha sanzionato un responsabile del trattamento e il suo subresponsabile con una multa rispettivamente di 150.000 euro e di 75.000 euro.
Una sanzione che rappresenta una lezione importante per far comprendere a tutti che la data protection riguarda l’intera filiera del dato personale: non solo i trattamenti effettuati dal titolare del trattamento, ma anche quelli gestiti dai sub-fornitori.
Indice degli argomenti
Mancate misure di contrasto al credential stuffing: i fatti
Come si legge testualmente nel comunicato stampa pubblicato sul sito ufficiale della CNIL, tra il giugno del 2018 ed il gennaio 2020 l’Autorità Garante francese «ha ricevuto dozzine di notifiche di violazioni dei dati personali relative ad un sito Web da cui diversi milioni di clienti effettuano regolarmente acquisti.
La CNIL ha deciso di effettuare controlli sul responsabile del trattamento e sul suo subappaltatore, a cui è stata affidata la gestione di questo sito web. Durante le sue indagini, la CNIL ha notato che il sito web in questione aveva subito numerose ondate di attacchi di credential stuffing.
In questo tipo di attacco, un utente malintenzionato recupera elenchi di username e password in chiaro pubblicati su Internet, generalmente a seguito di una violazione dei dati. Supponendo che gli utenti utilizzino spesso la stessa password e lo stesso username (tipicamente, l’indirizzo di posta elettronica) per diversi servizi, l’attaccante, grazie ai “bot”, tenterà un gran numero di connessioni ai siti. Quando l’autenticazione ha successo, gli consente di vedere le informazioni associate agli account in questione».
La CNIL ha osservato ancora che «gli aggressori sono stati così in grado di prendere nota delle seguenti informazioni: cognome, nome, indirizzo e-mail e data di nascita dei clienti, ma anche numero e saldo della loro carta fedeltà e informazioni relative ai loro ordini».
Insomma, un attacco con tutti i crismi che è stato possibile portare a termine a causa di misure di sicurezza insufficienti. Infatti, come si legge nelle motivazioni «l’organo competente […] ha ritenuto che le due società fossero venute meno all’obbligo di preservare la sicurezza dei dati personali dei clienti, previsto dall’articolo 32 del GDPR».
Le motivazioni della sentenza
Dai primi dati disponibili sembra che la sanzione sia stata comminata in quanto, sebbene il responsabile del trattamento e il subresponsabile avessero percepito la necessità di adottare adeguate misure di sicurezza che erano in attuazione, le stesse non si siano rivelate sufficienti per questo tipo di attacco e siano anzi risultate tardive.
In particolare, la CNIL è intervenuta «sulla strategia di risposta e sullo sviluppo di uno strumento per rilevare e bloccare gli attacchi lanciati dai bot. Tuttavia, lo sviluppo di questo strumento ha richiesto un anno dai primi attacchi».
Infatti, si è appreso che «le aziende hanno tardato a mettere in atto misure per combattere efficacemente questi ripetuti attacchi». Quando, invece, «si sarebbero potute prendere in considerazione diverse altre misure che producono effetti più rapidi al fine di prevenire ulteriori attacchi o mitigare le conseguenze negative per le persone, come:
- limitare il numero di richieste consentite per indirizzo IP sul sito web, che avrebbe potuto rallentare la velocità con cui venivano effettuati gli attacchi;
- la comparsa di un CAPTCHA dal primo tentativo di autenticare gli utenti sul proprio account, molto difficile da aggirare per un robot».
Conclude la CNIL nel comunicato che «a seguito di questa mancanza di diligenza, i dati di circa 40.000 clienti del sito web sono stati resi accessibili a terzi non autorizzati tra marzo 2018 e febbraio 2019».
Il fenomeno del credential stuffing
Il credential stuffing è una delle forme di attacco informatico più subdole ma anche più diffuse per sottrarre credenziali di accesso a vari strumenti disponibili via Internet (siti web, servizi online ecc.).
Cos’è il credential stuffing
L’attacco consiste nel tentare accessi ripetuti ad un servizio web (portale, Facebook, ecc.) ad opera di un software malevolo (di seguito “bot”) adoperando credenziali di accesso (username e password) precedentemente carpite attraverso una violazione di dati personali (data breach).
Di fatto, si tratta di una variante del più noto attacco brute force che consiste nel tentare ripetutamente l’accesso con password inventate: la variante sta nel fatto che in questo caso si parte dalla conoscenza di almeno una credenziale valida, anche se per altri siti, e da questa si prova l’accesso direttamente e/o con varianti della medesima, riducendo i tempi normalmente necessari a trovare una password senza alcun riferimento.
Perché e come avviene
Richiamando quanto già scritto in proposito, rammentiamo solo come il fenomeno del credential stuffing sia sempre più diffuso per due fattori sostanzialmente:
- la maggior parte delle persone riutilizza sempre le stesse credenziali su due o più siti web;
- molti utenti adoperano la stessa password, o semplici varianti della stessa, per tutti i servizi web.
In pratica, quindi, il criminal hacker crea un software malevolo denominato bot in grado di testare miglia di accessi ripetutamente. Esegue questo bot su decine o centinaia di inconsapevoli PC che sono stati prima infettati e trasformati in strumenti per l’esecuzione dell’attacco, fino a raggiungere l’obiettivo di “indovinare” le giuste credenziali.
Un attacco di credential abuse avviene per passaggi successivi allorché il criminal hacker:
- ruba i dati personali violando siti, applicazioni web o li acquista sul Deep Web fino ad acquisire, nel tempo, una grande quantità di credenziali. Insomma, un vero e proprio database;
- ne testa l’affidabilità su social network, e-commerce, eccetera, attraverso ripetuti tentativi grazie all’uso distorto delle tecnologie/strumenti automatici (i bot) che permettono di simulare l’accesso dell’utente da diversi IP e da dispositivi diversi, sfruttando le diverse varianti di credenziali. In pratica, vengono compiuti automaticamente i vari tentativi di accesso ai siti web in modo strategico, con la certezza che una buona percentuale degli stessi tentativi andrà necessariamente a buon fine;
- sottrae, identificati gli account accessibili, tutto ciò gli è dato possibile (carte di credito, nome e cognome, e-mail ecc.), raccogliendo quante più informazioni che riutilizzerà per porre in essere altri attacchi informatici ancora più strutturati e violenti, fino ad arrivare al mercato dei dati del Dark Web.
Qualche consiglio pratico per difendersi dal credential stuffing
Rilevare un attacco di tal genere non è affatto semplice, dal momento che la vittima (spesso un’azienda, per questioni di “appetibilità”), potrebbe non aver avuto alcun problema di sicurezza legata alla compromissione del sito web o di una applicazione.
Di seguito, senza pretesa alcuna di esaustività, segnaliamo alcune accortezze nella tabella che segue.
| LATO UTENTE |
|
| LATO GESTORE |
|
Centralità delle misure di sicurezza
Alla luce di quanto sopra, abbiamo ancora una volta l’occasione di evidenziare come, nello spirito del GDPR, le misure di sicurezza (ex art. 32) in relazione al responsabile del trattamento devono essere decise dal medesimo per attuarle efficacemente dando istruzioni documentate al subresponsabile il quale dovrà cercare, per parte sua, soluzioni tecniche ed organizzative anch’esse decisamente appropriate onde garantire la sicurezza dei dati personali da offrire al responsabile del trattamento (ex art. 28).
Il tutto, vieppiù, se letto in ottica di accountability, da queste decisioni si possono trarre interessanti considerazioni circa la necessità di rafforzare la loro vigilanza sugli attacchi di credential stuffing (o altri tipi di attacco) e sviluppare, insieme al loro subappaltatore, misure sufficienti per garantire la protezione dei dati personali.
In questo senso è inoltre da intendersi la formazione quale misura di sicurezza principale, perchè creando consapevolezza, garantisce che gli utenti (dipendenti e collaboratori) adottino modalità operative che non mettano a rischio i dati personali e aziendali, prevenendo questo o altro tipo di attacco.
Conclusioni
Posto quanto affermato, riteniamo imprescindibile purtroppo ancora un richiamo alla situazione di emergenza attuale dal momento che la Covid-19 in questi mesi, evidentemente, ha raddoppiato gli attacchi di questa natura, giacché questo subdolo tipo di attacco parte per lo più da un vero e proprio furto di credenziali private che vengono poi usate anche per altri scopi (come quello di compromettere sistemi aziendali).
