LinkedIn, vittima di attacco hacker: rubate 6,5 milioni di user password

Un gruppo di hacker è riuscito a rubare le password di 6,5 milioni di utenti iscritti a LinkedIn che erano state criptate in maniera leggera. Successivamente sono state postate su un forum russo a completa disposizione di tutti. La notizia, riportata dal Wall Street Journal, è stata confermata poi da LinkedIn. Le password rubate rappresentano circa il 4% del totale, visto che a LinkedIn sono iscritti circa 150 milioni di utenti.

LinkedIn ha subito bloccato gli account che hanno subito il furto delle password, annullando la validità delle stesse. Gli iscritti stanno inoltre ricevendo da Linkedin alcune informazioni su come cambiare le proprie password. Un passaggio che gli esperti di sicurezza online hanno invitato ad effettuare da subito: anche perché LinkedIn, vista la sua natura professionale, contiene informazioni sulle strutture aziendali e progetti di impresa.

LinkedIn ha confermato che alcuni degli hash delle password che sono stati inseriti online non corrispondono agli utenti del suo servizio. Essi hanno inoltre dichiarato che le password resettate saranno ora memorizzate in formato hash salt. Si tratta di una stringa che viene aggiunta alle password prima che venga generato un hash crittografico. Ciò significa che le liste di password non possono essere pre-calcolate sulla base di attacchi dizionario o tecniche analoghe.

Questo è un fattore importante per limitare gli attacchi di tipo brute force alle password. Anche per guadagnare tempo e purtroppo gli hash pubblicati da LinkedIn non contenevano il salting. Dopo aver rimosso gli hash duplicati, SophosLabs ha determinato che ci sono 5,8 milioni gli hash delle password uniche nel dump, di cui 3,5 milioni sono già stati attaccati da forza bruta. Ciò significa che oltre il 60% degli hash rubati sono ora di pubblico dominio.

Sophos ha fatto anche alcuni test supplementari per le password comunemente usate che non dovrebbero mai essere utilizzate. Sophos ha iniziato con l'elenco delle password che il worm Conficker ha utilizzato per diffondersi attraverso le reti Windows. Tutte tranne due delle password Conficker sono state utilizzate da qualcuno nel dump dei 6,5 milioni user password. Le due password che non sono state trovate sono "mypc123" e "ihavenopass".

Risolti, invece, i problemi di trasmissione dati non autorizzata ai server dell'azienda delle app. Di recente il social network ha avuto problemi con l’applicazione per iOS che trasmetteva informazioni collegate all'agenda in formato testo libero direttamente ai server online. Su Google Play Store adesso la situazione è tornata sotto controllo, mentre Apple sta approvando la revisione dell'applicazione.