123456, 12345, 123456789: ecco il podio delle peggiori password più usate sul sito Rockyou.com: le ha scoperte e messe online un anonimo hacker dopo un attacco al sito, e l'azienda americana per la sicurezza informatica Imperva le ha analizzate - un campione di 32 milioni di sequenze - scoprendo che le più usate sono di una banalità sconcertante. Ecco la "lista nera" delle prime 20.

123456
12345
123456789
Password
I love you
princess
rockyou
1234567
12345678
abc123
Nicole
Daniel
Babygirl
monkey
Jessica
Lovely
michael
Ashley
654321
Qwerty

La lista si inserisce in un rapporto sulle "peggiori abitudini degli utenti in fatto di password" e contiene anche qualche statistica: quasi un terzo delle password analizzate non superano i 6 caratteri, il 60% sono scelte da una serie limitata di cartteri alfanumerici, la metà sono parole del gergo, nomi di persona, termini del dizionario, password cosiddette banali (cifre consecutivi, tasti adiacenti e simili).

Un vero invito a nozze per i cybercriminali a caccia di dati personali, numeri di carte di credito o conto corrente e quant'altro quelle password dovrebbero in teoria proteggere. E pensare che, sempre Imperva, gli hacker con i soli attacchi in automatico, come i cosiddetti "brute force attack", possono violare un accout al secondo, 1000 in meno di venti minuti. Non solo: dal report si scopre che molti impiegati usano privatamente (per esempio su Facebook) le stesse password che usano in ufficio, mettendo a rischio anche le aziende dove lavorano. E ancora, che il popolo del web è “duro di comprendonio”, visto che questa superficialità sulla scelta della password è vecchia di vent'anni, come si scopre confrontando quest'ultimo rapporto con quello realizzato da Unix nel 1990.

E allora ripetere i consigli per la sicurezza non è superfluo, meglio se divisi tra quelli per utenti privati e quelli per gli amministratori d'azienda. Ai primi si suggerisce l'uso di acrostici (le iniziali delle parole di una frase complessa creano una sequenza ben difficile da indovinare), usare password diverse per ogni sito, usare le domande di aiuto come quelle che ci suggerisce il sistema operativo quando non ce la ricordiamo. E naturalmente, di tenere acqua in bocca.

Per le aziende le indicazioni riguardano più in generale la politica della sicurezza, che deve cambiare nel tempo, badare al fatto che le password non circolino in chiaro, usare i Captchas e i quiz computazionali per contrastare gli attacchi ai dati di accesso di tipo “brute force”.

Infine, Imperva prepara per il 10 febbraio un webinar (un seminario online) in cui riprendere e approfondire i temi trattati nel rapporto (raggiungibile in versione completa a questo link)

Ci resta solo la curiosità di sapere come va in Italia: cambierà molto?

Fonte. Imperva