Hanno rubato la mia password

...su LinkedIn (qualcuno pensava già alla mia password per verbalizzare gli esami...invece no; più precisamente, se mi sono state trafugate le credenziali di ateneo io non lo so).

Non dovrebbe essere successo nulla di particolarmente grave, ma mi pare importante condividere questo evento per sottolineare che:

1. Queste cose possono accadere a chiunque.
2. Il furto della intera tabella delle credenziali (username e password) sui server è un evento relativamente frequente e può coinvolgere anche grandi organizzazioni. Ne avevo già parlato in un post recente.
3. Io posso tentare di custodire le mie credenziali nel modo migliore possibile; ma se le mie credenziali le conosce anche il server, allora l'attaccante può rubarle dal server. 

Per quanto riguarda il punto 3, tentare di rubare le credenziali dal server è molto più conveniente per l'attaccante: se ha successo un attacco verso di me, l'attaccante ottiene UNA credenziale; se ha successo un attacco verso il server, l'attaccante ottiene MILIONI di credenziali.

In sintesi, è accaduto questo:

1. Nel 2012 si è verificata una intrusione in LinkedIn: quasi 6.5 milioni di credenziali sono state trafugate.
2. All'epoca ricevetti un email di allerta da LinkedIn, in cui mi avvisavano che "We recently became aware that some LinkedIn passwords were compromised and posted on a hacker website. We immediately launched an investigation and we have reason to believe that your password was included in the post". Ovviamente mi suggerirono di cambiare la password immediatamente.
3. Da qualche giorno sono state messe in vendita queste credenziali sui siti underground; a un prezzo mooooolto ridotto: 4 bitcoin (circa 2000$) per vari milioni di credenziali. Molti siti di sicurezza ne stanno discutendo. Una discussione particolarmente autorevole è questa.
4. Stamattina ho ricevuto dal sito haveibeenpowned (proprio il sito di cui parlavo in coda al post recente) un email in cui mi si avvisava che "You're one of 164,611,595 people pwned in the LinkedIn data breach". Nulla di sorprendente, mi ha confermato quanto LinkedIn sospettava fosse accaduto.

Probabilmente la copia delle mie credenziali che sta circolando adesso è quella precedente al cambio di password che ho eseguito nel 2012...ma ho cambiato la password nuovamente.