Basta il numero di telefono per prevenire molti attacchi, lo dice Google

Una nuova ricerca di Google sul tema della sicurezza informatica mostra come l’aggiunta di un numero di telefono di recupero può fare molto per prevenire gli attacchi hijacking degli account.

Google ha collaborato con la New York University e l’Università della California, a San Diego, a uno studio di un anno su attacchi mirati e su vasta scala. La conclusione è che qualsiasi forma di ulteriore controllo per la sicurezza è utile per prevenire gli attacchi hijacking.

La nostra ricerca mostra che l’aggiunta di un numero di telefono di recupero all’account Google può bloccare fino al 100% dei bot automatici, il 96% degli attacchi di phishing in massa e il 66% degli attacchi mirati che si sono verificati durante l’indagine.

Il numero di telefono per prevenire gli attacchi hijacking

La ricerca ha esaminato sia i controlli basati sulla conoscenza sia quelli basati sui dispositivi. La prima modalità implica che Google segua i tentativi di accesso sospetti chiedendo ulteriore prova che si tratti proprio dell’utente e la cosa potrebbe essere semplice come inserire un numero di telefono o un indirizzo email secondario che gli utenti hanno già associato al proprio account. Un altro tipo di controllo prevede la richiesta dell’ultima posizione di accesso, un sistema che ha bloccato il 100% degli hijacking tentati dai bot automatici.

I metodi di controllo basati sui dispositivi prevedono l’invio di codici per messaggio al numero di telefono segnalato. Mentre la comunità della sicurezza considera sempre più questo metodo come suscettibile di spoofing degli SMS, la ricerca di Google ha rilevato che questo sistema riduce gli attacchi mirati del 76%.

La percentuale aumenta nel caso di messaggi su dispositivo visualizzati direttamente su Android e attraverso le app Google/Gmail su iOS. In ogni caso, dal momento che queste forme di attacco sono impossibili quando c’è l’autenticazione fisica dell’identità, il metodo più sicuro per prevenire gli attacchi hjiaking rimane l’inserimento di una chiave di sicurezza, sia fisica che telefonica.

I limiti dei sistemi di recupero

La ricerca di Google mostra anche il limite di questi controlli di default:

Tali controlli introducono ulteriori attriti e aumentano il rischio di blocco dell’account. In un esperimento, il 38% degli utenti non aveva accesso al proprio telefono quando è stato richiesto il controllo. Un altro 34% degli utenti non è riuscito a ricordare il proprio indirizzo email secondario.

I risultati evidenziano infine la tendenza emergente degli attacchi “hack a noleggio”. In realtà, la maggior parte degli utenti non è esposta a questo rischio, ma Google suggerisce che gli obiettivi ad alto rischio siano registrati al Programma di Protezione Avanzata.

Abbiamo indagato su gruppi criminali emergenti “hack for hire” che offrono di entrare in un account per una commissione di circa $750 USD. Questi aggressori fanno spesso affidamento su email di phishing che impersonano familiari, colleghi, funzionari governativi o persino Google. Se il bersaglio non cade vittima al primo tentativo di phishing, gli attacchi successivi persistono per oltre un mese.