Le credenziali rubate sono il vettore di attacco singolo più comune nelle violazioni dei dati. Secondo il report IBM Cost of a Data Breach 2024, il 16% di tutte le violazioni inizia con credenziali compromesse, con un costo medio di 4,81 milioni di dollari per incidente. Queste violazioni richiedono anche il tempo più lungo per essere rilevate: una media di 292 giorni dal compromesso al contenimento. Il motivo è semplice: quando un attaccante accede con credenziali valide, bypassa ogni difesa perimetrale e appare come un utente legittimo. Comprendere dove le credenziali vengono esposte, come finiscono nel dark web e come rilevare gli account compromessi prima che vengano sfruttati è ormai un requisito di sicurezza fondamentale.
Le credenziali compromesse rappresentano un vettore di attacco insidioso perché forniscono accesso apparentemente legittimo ai sistemi aziendali. A differenza dei tentativi di sfruttamento o delle vulnerabilità zero-day che lasciano tracce evidenti, un attaccante che accede con credenziali valide appare come un utente ordinario nei log di accesso. Questo rende il rilevamento più difficile e consente agli aggressori di mantenere un accesso prolungato mentre raccolgono dati sensibili, installano backdoor o diffondono malware per tutta l'organizzazione.
- Le credenziali rubate causano il 16% di tutte le violazioni con un costo medio di 4,81 milioni di dollari e 292 giorni per il rilevamento.
- Il malware infostealer raccoglie credenziali, cookie e token di sessione direttamente dai dispositivi infetti: anche gli account protetti da MFA sono vulnerabili quando i cookie di sessione vengono rubati.
- Esistono tre fonti principali di esposizione delle credenziali: violazioni di dati su larga scala (HIBP), log infostealer (Hudson Rock) e dump di forum/paste del dark web (IntelX).
- Una singola credenziale dipendente compromessa può fornire l'accesso iniziale per un attacco ransomware che costa milioni.
- Il monitoraggio efficace delle credenziali richiede il controllo continuo di tutte e tre le fonti, non solo audit periodici delle password.
Come le Credenziali Finiscono nel Dark Web
Le credenziali raggiungono i mercati del dark web attraverso tre canali principali, ciascuno con caratteristiche e profili di rischio diversi:
1. Violazioni di Dati su Larga Scala
Quando un servizio viene violato, il suo database utenti — spesso contenente indirizzi email e password in hash — viene esfiltrato e distribuito. Violazioni importanti come LinkedIn (700 milioni di record), Yahoo (3 miliardi di record) e Collection #1-5 (2,2 miliardi di combinazioni email/password uniche) hanno creato enormi database di credenziali ancora attivamente usati per attacchi di credential stuffing. Have I Been Pwned (HIBP) cataloga oltre 14 miliardi di account compromessi provenienti da oltre 800 violazioni note.
Il rischio delle violazioni storiche è amplificato dal riutilizzo delle password. Gli studi mostrano costantemente che il 65% degli utenti riutilizza le password su più servizi. Una credenziale rubata in una violazione del 2018 può ancora funzionare contro una VPN aziendale nel 2026, se il dipendente non ha mai cambiato la propria password.
2. Malware Infostealer
Gli infostealer rappresentano la minaccia alle credenziali più pericolosa e in più rapida crescita. A differenza delle violazioni che espongono credenziali da un singolo servizio compromesso, gli infostealer raccolgono tutto ciò che è memorizzato sul dispositivo infetto: password salvate nel browser, cookie di sessione, dati di autocompletamento, wallet di criptovalute e token di autenticazione. Una singola infezione può produrre dozzine di coppie di credenziali tra account aziendali e personali. Il fatto che gli infostealer catturino anche i cookie di sessione crea una vulnerabilità particolare: anche gli account protetti da MFA sono compromessi quando il cookie della sessione è rubato.
Le famiglie di infostealer più attive nel 2026 includono:
| Famiglia Infostealer | Metodo di Distribuzione | Cosa Ruba | Scala |
|---|---|---|---|
| RedLine | Malvertising, software craccato | Password browser, cookie, crypto wallet, info sistema | Milioni di infezioni globalmente |
| Raccoon | Email phishing, exploit kit | Dati browser, client email, credenziali FTP, token Discord | MaaS su abbonamento (200$/mese) |
| Vidar | Software craccato, malspam | Dati browser, token 2FA, crypto wallet, documenti | Spesso abbinato alla delivery di ransomware |
| LummaC2 | SEO poisoning, aggiornamenti falsi | Credenziali browser, crypto, token autenticazione | In rapida crescita, evasione avanzata |
| Stealc | Download drive-by, loader | Dati browser, app messaggistica, config VPN | Nuovo ingresso, adozione crescente |
Ciò che rende gli infostealer particolarmente pericolosi è il furto di cookie di sessione. Anche quando un account è protetto da MFA, un cookie di sessione rubato permette agli attaccanti di bypassare completamente l'MFA -- possono importare il cookie nel loro browser e riprendere la sessione autenticata come se fossero l'utente legittimo. Questa tecnica è stata utilizzata in compromessi di alto profilo di importanti società tecnologiche.
3. Forum del Dark Web e Siti Paste
Le credenziali vengono condivise, vendute e scambiate su forum del dark web, canali Telegram e siti paste. I broker di accesso iniziale pubblicano "liste combo" di credenziali -- file contenenti migliaia di coppie email:password -- su forum come BreachForums e XSS. Questi prezzi variano in base alla freschezza (quanto di recente sono state raccolte), alla specificità (mirata rispetto a raccolta di massa) e al tasso di validazione (quale percentuale di credenziali è ancora attiva).
I prezzi per le credenziali di rete aziendale variano drasticamente in base al target: l'accesso alla VPN di una piccola azienda potrebbe vendersi per 500 dollari, mentre le credenziali di un'azienda Fortune 500 possono comandare 20.000-50.000 dollari. Questo mercato alimenta direttamente l'economia del ransomware -- i broker di accesso iniziale sono la catena di approvvigionamento per gli affiliati ransomware.
Lo Stack di Intelligence sulle Credenziali
Il monitoraggio efficace delle credenziali richiede dati da più fonti perché nessuna fonte singola fornisce una copertura completa:
| Fonte | Cosa Copre | Punti di Forza | Limitazioni |
|---|---|---|---|
| Have I Been Pwned (HIBP) | 800+ violazioni note, 14B+ account | Database completo delle violazioni, ricerca a livello di dominio, accesso API | Solo violazioni note; nessun dato infostealer |
| Hudson Rock | Log infostealer da dispositivi infetti | Credenziali dipendenti + utenti, dati furto cookie, contesto dispositivo | Focalizzato su famiglie infostealer; non violazioni tradizionali |
| IntelX | Dati storici dark web, siti paste, dump forum | Archivio storico profondo, coppie credenziali complete, accesso dati grezzi | Può includere dati più vecchi; richiede filtraggio del contesto |
La combinazione di queste tre fonti fornisce intelligence stratificata sulle credenziali: HIBP cattura l'esposizione da violazioni generali, Hudson Rock identifica i compromessi attivi di infostealer con contesto a livello di dispositivo, e IntelX fa emergere le credenziali da forum del dark web e siti paste che potrebbero non apparire in nessuna delle altre due fonti.
Quantificare il Rischio delle Credenziali
Scoring della Gravità delle Violazioni
- Numero di violazioni per dominio: 2 punti per violazione, massimo 8.
- Scala della violazione: Violazioni massive (1M+ record): bonus 4 punti. Grandi (100K+): 2 punti.
- Recenza della violazione: Violazione nell'ultimo anno: 3 punti aggiuntivi.
Scoring Infostealer
- Credenziali dipendenti: Fino a 6 punti (scala logaritmica). Rischio più alto per accesso diretto alle risorse aziendali.
- Credenziali utente: Fino a 3 punti per esposizione credenziali cliente/utente.
- Esposizione terze parti: 2 punti per esposizione credenziali supply chain.
Cosa Dice il Punteggio
Un punteggio composito di esposizione delle credenziali (0-25 in un modello di rischio complessivo di 100 punti) consente la prioritizzazione. Le organizzazioni con punteggi superiori a 15 di solito hanno infezioni infostealer attive o esposizione molto recente da violazioni su larga scala e dovrebbero trattare la remediation delle credenziali come urgente. I punteggi tra 8-15 indicano un'esposizione storica significativa che richiede reset sistematici delle password e applicazione obbligatoria di MFA. I punteggi inferiori a 8 rappresentano un'esposizione di base comune alla maggior parte delle organizzazioni.
Costruire un Programma di Monitoraggio delle Credenziali
1. Monitoraggio Continuo dei Domini
Registra tutti i domini email organizzativi per il monitoraggio continuo su HIBP, Hudson Rock e IntelX. Questo dovrebbe includere i domini primari, i domini di filiali e qualsiasi dominio utilizzato per test o sviluppo -- gli attaccanti colpiscono gli ambienti di test che spesso hanno controlli più deboli.
2. Triage e Classificazione degli Allarmi
Non ogni credenziale esposta richiede la stessa risposta. Classificate i risultati per gravità:
| Tipo di Risultato | Gravità | Azione Richiesta | Tempistica |
|---|---|---|---|
| Infezione infostealer attiva (dispositivo dipendente) | Critico | Isolare dispositivo, revocare tutte le sessioni, forzare reset credenziali su TUTTI i servizi | Immediato |
| Dump credenziali recente (< 30 giorni) | Alto | Forzare reset password, abilitare MFA, controllare log di accesso per attività sospette | Entro 4 ore |
| Esposizione violazione recente (< 12 mesi) | Medio | Richiedere cambio password, applicare MFA se non già attiva | Entro 24 ore |
| Violazione storica (> 12 mesi) | Basso | Includere nel prossimo ciclo di rotazione password, verificare lo stato MFA | Entro 1 settimana |
| Esposizione terze parti/supply chain | Medio | Valutare il rischio di credenziali condivise, contattare il partner, controllare le chiavi API | Entro 48 ore |
3. Integrazione della Risposta Automatizzata
Integra il monitoraggio delle credenziali con il tuo identity provider per automatizzare le azioni di risposta. Quando una credenziale compromessa viene rilevata, il sistema dovrebbe automaticamente attivare una richiesta di reset della password al prossimo accesso, contrassegnare l'account per una sfida MFA aggiuntiva e generare un incidente di sicurezza per il SOC da investigare il compromesso a livello di dispositivo.
4. Applicazione dell'Igiene delle Password
Il monitoraggio delle credenziali rivela le conseguenze delle cattive pratiche di password. Usa i risultati per giustificare e applicare politiche di password: password minime di 12 caratteri, MFA obbligatoria per tutte le applicazioni aziendali, deployment di password manager e divieto di riutilizzo delle password (verificato controllando i database di violazioni note durante la creazione della password).
La Supply Chain degli Infostealer
Comprendere come i dati degli infostealer fluiscono dall'infezione allo sfruttamento rivela l'urgenza del monitoraggio:
- Infezione: Un dipendente scarica software craccato, clicca un annuncio malevolo o apre un allegato di phishing. L'infostealer raccoglie silenziosamente tutte le credenziali memorizzate e i cookie in pochi secondi.
- Esfiltrazione: I dati rubati vengono inviati al server di comando e controllo dell'attaccante, organizzati per vittima e tipo di dato.
- Listino di mercato: Entro ore, i dati appaiono nei mercati di credenziali -- sia come "log" individuali che raggruppati con altre vittime. Un singolo log (un dispositivo infetto) si vende per 5-50 dollari a seconda del valore delle credenziali trovate.
- Acquisto e sfruttamento: Un affiliato ransomware o broker di accesso iniziale acquista il log, identifica le credenziali aziendali e le utilizza per l'accesso alla rete. Il tempo totale dal compromesso iniziale alla compromissione della rete aziendale può essere inferiore a 24 ore.
Questo pipeline significa che un singolo errore di un dipendente -- scaricare un editor PDF craccato o cliccare un Google Ad malevolo -- può portare direttamente a un attacco ransomware. Il monitoraggio delle credenziali intercetta questa catena rilevando le credenziali compromesse prima che vengano armatizzate.
Esposizione delle Credenziali e NIS2
La NIS2 non menziona esplicitamente il monitoraggio delle credenziali, ma i requisiti della direttiva lo implicano implicitamente. L'articolo 21(2)(j) richiede alle organizzazioni di implementare "sicurezza delle risorse umane" e "politiche di controllo degli accessi." Il monitoraggio delle credenziali compromesse è un'implementazione diretta della sicurezza del controllo degli accessi. L'articolo 21(2)(e) richiede "gestione e divulgazione delle vulnerabilità" -- le credenziali compromesse rappresentano una vulnerabilità nel livello di autenticazione che deve essere rilevata e rimediata.
Inoltre, le tempistiche di segnalazione degli incidenti della NIS2 (avviso anticipato 24 ore, notifica 72 ore) sono raggiungibili solo quando il rilevamento della violazione è automatizzato. Il monitoraggio delle credenziali fornisce la capacità di rilevamento automatizzato che rende possibile il reporting tempestivo.
Oltre le Password: Il Futuro della Sicurezza delle Credenziali
Il panorama delle minacce alle credenziali sta evolvendo in tre direzioni. In primo luogo, il furto di token di sessione sta sempre più bypassando l'MFA, spingendo le organizzazioni verso metodi di autenticazione resistenti al phishing come le chiavi hardware FIDO2/WebAuthn. In secondo luogo, l'esposizione della chiave API e dell'account di servizio sta crescendo mentre le organizzazioni adottano più servizi cloud -- il monitoraggio deve estendersi oltre le credenziali umane alle identità delle macchine. In terzo luogo, la convalida delle credenziali in tempo reale sta diventando una pratica standard, dove ogni evento di autenticazione viene controllato rispetto ai database di credenziali compromesse note prima che l'accesso sia concesso.
Le organizzazioni che implementano il monitoraggio continuo delle credenziali oggi costruiscono le fondamenta per queste difese emergenti. La capacità di rilevare e rispondere al compromesso delle credenziali entro ore anziché mesi è il miglioramento più impattante che la maggior parte delle organizzazioni possa apportare alla propria postura di sicurezza.