Una piccola fuga con un nome familiare

Un combolist etichettato "Microsoft 42" è recentemente emerso online, contenente 140 record di accesso esposti, secondo lo scanner per violazioni del dark web di HEROIC. L'azienda, che mantiene un database di oltre 400 miliardi di record trafugati, ha segnalato il file nell'ambito del suo monitoraggio continuo dei combolist che circolano nei forum e nei marketplace clandestini.

Paragonata a violazioni che espongono milioni di account, 140 record possono sembrare irrilevanti. Ma la dimensione di un combolist non ha nulla a che vedere con il pericolo che rappresenta per le persone le cui credenziali contiene. Ciò che conta è se quelle coppie di email e password funzionano ancora e su quanti altri account sia stata riutilizzata la stessa password.

Cosa sono davvero i combolist (e perché il nome è importante)

Un combolist è un file di testo che abbina indirizzi email o nomi utente a password, solitamente raccolto da violazioni precedenti, campagne di phishing o infezioni malware, anziché da un singolo attacco fresco. L'etichetta "Microsoft 42" non significa necessariamente che Microsoft stessa sia stata violata. I combolist vengono spesso battezzati con il nome di un marchio, di un servizio o di un tema per aiutare gli acquirenti e i forum criminali a organizzare i dati rubati, anche quando le credenziali sono state prelevate da fonti non correlate e semplicemente riconfezionate.

Questa convenzione di denominazione può trarre in inganno gli osservatori occasionali, ma non rende i dati sottostanti meno utilizzabili. Gli aggressori caricano i combolist in strumenti automatizzati e li scagliano contro siti bancari, fornitori di email, servizi di streaming e accessi aziendali con una tecnica nota come credential stuffing. Se anche solo una manciata dei 140 record di questa fuga utilizza password ancora attive altrove, quegli account sono a rischio, indipendentemente dal fatto che i sistemi Microsoft siano mai stati toccati.

Questo schema di riciclo delle credenziali fa parte di un ecosistema molto più ampio. Incidenti di maggior portata e risonanza, come l'attacco di vishing di ShinyHunters che ha colpito Charter ed esposto circa 40 milioni di record, alimentano la stessa filiera sotterranea da cui attingono piccoli combolist come questo. Le credenziali rubate raramente restano confinate a una singola fuga; vengono impacchettate, rivendute e riassemblate in nuove liste per anni dopo il furto iniziale.

Perché le minacce a marchio Microsoft continuano a ripresentarsi

L'ecosistema Microsoft, che comprende Outlook, Microsoft 365, Azure e Windows, è un bersaglio costante semplicemente per la sua diffusione. Gli aggressori sanno che una credenziale Microsoft valida spesso permette di accedere contemporaneamente a email, spazio di archiviazione cloud e applicazioni aziendali, il che la rende un obiettivo di alto valore sia per i singoli truffatori sia per attori organizzati.

È anche per questo che gli attacchi a tema Microsoft tendono a evolversi oltre le semplici fughe di password. Rapporti separati hanno dettagliato come l'attore tracciato come Storm-2949 abbia sfruttato i flussi di reimpostazione della password di Microsoft 365 per svuotare i dati dal cloud, mostrando come una sola password riutilizzata o trapelata possa diventare il punto d'ingresso per un'intrusione molto più dannosa. Le fughe di credenziali e le campagne di acquisizione degli account tendono a rafforzarsi a vicenda: le password trapelate rendono possibili reimpostazioni e accessi agli account, e le intrusioni andate a segno generano nuovi dati rubati che alla fine finiscono nel combolist successivo.

Vale anche la pena ricordare che le credenziali rubate alimentano sempre più spesso operazioni di estorsione. Ricerche riportate altrove hanno osservato che un nuovo gruppo ransomware si forma all'incirca ogni settimana e molti di questi gruppi si affidano a credenziali acquistate o trapelate per ottenere l'accesso iniziale prima di distribuire il ransomware. Un combolist di 140 record può sembrare minore se preso da solo, ma è parte della materia prima che tiene in moto questa più ampia economia criminale.

Cosa significa per te

Se utilizzi un account Microsoft, o qualsiasi account per cui hai riutilizzato una password, il rischio concreto non è il nome specifico del combolist. La domanda è se la tua password attuale compare da qualche parte in un insieme di dati trapelati. Strumenti come lo scanner di violazioni gratuito di HEROIC esistono proprio per questo: consentono di cercare tra miliardi di record esposti per verificare se il tuo indirizzo email o la tua password siano emersi in una fuga, senza dover rintracciare personalmente ogni singolo incidente.

La supposizione più sicura è che qualsiasi password che hai usato più di una volta, specialmente su un sito vecchio o poco sicuro, sia già stata compromessa da qualche parte. Combilist come questo sono solo l'ennesima prova che le credenziali riciclate restano uno dei modi più facili per gli aggressori di entrare.

Azioni pratiche da intraprendere subito

  • Verifica il tuo indirizzo email con uno strumento affidabile di controllo delle violazioni per vedere se compare in fughe note o combolist.
  • Cambia ogni password che è stata riutilizzata su più siti, dando la priorità ad account email, bancari e cloud.
  • Attiva l'autenticazione a più fattori ovunque sia disponibile, in particolare su account Microsoft, Google e finanziari.
  • Usa un gestore di password per generare credenziali uniche e complesse, in modo che una singola coppia di credenziali trapelate non possa sbloccare più account.
  • Monitora periodicamente i tuoi account, senza dare per scontato che un controllo una tantum sia sufficiente, poiché nuovi combolist emergono regolarmente.

Fughe di piccole dimensioni come il combolist Microsoft 42 raramente finiscono sulle prime pagine, ma sono un utile promemoria che l'igiene delle credenziali è importante tanto dopo che una fuga fa notizia quanto quando sembra non stia accadendo nulla.