Quando un attacco informatico fa notizia, di solito è a causa di ransomware, una grande violazione di dati o un bonifico fraudolento. Ciò che raramente viene menzionato è come l'aggressore sia riuscito a entrare. Sempre più spesso, la risposta è il malware infostealer: un software silenzioso e poco appariscente progettato per fare una cosa estremamente bene: raccogliere nomi utente, password, cookie del browser e dettagli finanziari da un dispositivo infetto senza che la vittima se ne accorga mai.

Capire come opera il malware infostealer e perché è diventato il punto d'ingresso preferito dai criminali informatici è il primo passo per difendersi dall'ondata di violazioni guidate dalle credenziali che ora dominano i rapporti sulla sicurezza.

Come il Malware Infostealer Ruba Effettivamente i Tuoi Dati

Gli infostealer non sono appariscenti. Non bloccano i tuoi file né chiedono un riscatto sul momento. Invece, si insinuano in un dispositivo attraverso il download di un software craccato, un allegato email dannoso, un falso aggiornamento del browser o una pubblicità compromessa, e poi lavorano silenziosamente in background.

Una volta installato, il malware analizza l'archivio delle password salvate nel browser, i cookie di login memorizzati nella cache, i dati di autocompletamento e persino i file dei portafogli di criptovalute. Raccoglie tutto ciò che trova in quello che i ricercatori di sicurezza chiamano uno "stealer log", poi trasmette quel registro all'aggressore, che spesso lo rivende in blocco sui mercati criminali. Una singola macchina infetta può consegnare decine di sessioni attive, dall'email e dall'online banking alle VPN aziendali e ai pannelli di amministrazione cloud, senza attivare alcun allarme antivirus se il malware è ben realizzato.

Questo è esattamente lo schema osservato nell'esposizione del log dello stealer SunCloudNew, dove quasi 6.000 record contenenti password in chiaro, indirizzi email e URL di login sono emersi da un unico set di dati compromesso. In quel caso, le vittime probabilmente non hanno mai cliccato un link di phishing legato a un account specifico; il malware ha semplicemente aspirato tutte le credenziali presenti nei loro browser.

Perché le Credenziali Rubate Ora Causano la Maggior Parte delle Violazioni e dei Ransomware

Per anni, le email di phishing e le vulnerabilità software non corrette sono state i punti d'ingresso preferiti dagli aggressori che cercavano di penetrare nelle reti aziendali. Questo è cambiato. Come dettagliato nell'articolo su come i log degli infostealer hanno superato il phishing come principale causa di violazione, i ricercatori di sicurezza vedono sempre più spesso credenziali di login valide e rubate utilizzate semplicemente per entrare dalla porta principale anziché forzare un ingresso.

Il cambiamento ha senso dal punto di vista dell'aggressore. Il phishing richiede di convincere un obiettivo ad agire in tempo reale, e sfruttare una vulnerabilità software richiede di trovarne una che non sia stata ancora corretta. Acquistare un lotto di credenziali già raccolte da uno stealer log è più veloce, più economico e molto meno probabile che desti sospetti, specialmente quando quelle credenziali includono cookie di sessione attivi che possono bypassare completamente le richieste di login.

Questa dinamica è ormai radicata anche nelle operazioni di ransomware. Secondo l'articolo che ha rilevato che quattro attacchi ransomware su cinque iniziano con identità rubate anziché con un exploit di rete, gli aggressori accedono sempre più spesso come un dipendente invece di hackerare come uno stereotipato intruso con la felpa con cappuccio. La violazione presso Stewart Home & School, che ha esposto 3.677 record, ha seguito lo stesso copione: un incidente ransomware radicato nel furto di credenziali piuttosto che in un exploit tecnico sofisticato.

Segnali che le Tue Credenziali Potrebbero Essere Già State Compromesse

Poiché il malware infostealer è progettato per essere invisibile, la maggior parte delle persone non si rende mai conto di essere stata infettata finché il danno non è già stato fatto. Vale la pena osservare alcuni segnali di allarme: avvisi di login sconosciuti o email di reimpostazione della password che non hai richiesto, nuovi dispositivi o sessioni browser che compaiono nella cronologia dei login attivi del tuo account, modifiche impreviste alle informazioni di recupero dell'account, oppure improvvisi rallentamenti e processi sconosciuti in esecuzione sul tuo dispositivo.

I servizi di monitoraggio delle credenziali e gli strumenti di notifica delle violazioni possono anche segnalare quando il tuo indirizzo email o le tue password compaiono in un log stealer trapelato, spesso prima che tu noti personalmente qualcosa di insolito. Data la frequenza con cui questi log emergono, dalle piccole violazioni dei distretti scolastici fino agli incidenti più grandi nei portali sanitari, verificare se le tue informazioni sono apparse in uno di essi è un'abitudine ragionevole piuttosto che paranoia.

Difese Pratiche: Gestori di Password, 2FA e Abitudini di Navigazione Sicura

La buona notizia è che il malware infostealer, nonostante tutta la sua furtività, viene sconfitto da un'igiene di base praticata con costanza. Un gestore di password elimina le password salvate nel browser che gli stealer sono specificamente progettati per raccogliere, e rende realistico l'uso di una password unica per ogni account invece che estenuante. Abilitare l'autenticazione a due fattori, idealmente tramite un'app di autenticazione anziché SMS, significa che una password rubata da sola non è sufficiente per concedere l'accesso. Mantenere aggiornati software e browser chiude alcuni dei canali di distribuzione su cui il malware fa affidamento, ed evitare software pirata, estensioni del browser non ufficiali e allegati non richiesti elimina del tutto i vettori di infezione più comuni.

Cosa Significa Questo per Te

Il furto di credenziali tramite malware infostealer non richiede che tu sia un dirigente di una grande azienda o un obiettivo di alto valore. Gli stealer log sono spesso indiscriminati, raccogliendo qualsiasi credenziale si trovi su una macchina infetta, che appartenga a un amministratore ospedaliero, a un impiegato scolastico o a un consumatore comune. L'incidente del portale Medicaid HUSKY di Hartford HealthCare ha mostrato come anche i login sanitari di routine abbiano un valore reale per gli aggressori una volta finiti in un set di credenziali rubate. La lezione non è che una singola persona abbia fatto qualcosa di sbagliato, ma che le credenziali stesse sono diventate la valuta che i criminali scambiano.

La risposta più efficace non è farsi prendere dal panico ogni volta che emerge un nuovo stealer log, ma rendere i propri account meno utili per chiunque potrebbe comprarne uno. Usa un gestore di password, attiva l'autenticazione a due fattori ovunque sia offerta e tratta gli avvisi di login sconosciuti come qualcosa che vale la pena indagare invece di ignorarli. Il malware infostealer prospera sull'invisibilità e sulle password riutilizzate. Eliminare entrambi è una delle decisioni di sicurezza più semplici e di maggiore impatto disponibili per chiunque abbia un account online.