Brutta, bruttissima figura per LinkedIn. Sul mercato nero sono in vendita gli indirizzi di mail e le password di 117 milioni (c’è chi dice 164 milioni) di suoi utenti, che sono stati rubati all’azienda. Il guaio è che il furto risale a quattro anni fa ma viene annunciato in dettaglio soltanto adesso: prima si pensava che il danno fosse circoscritto (si fa per dire) a circa 6,5 milioni di persone.

Ciliegina sulla torta, sono coinvolto personalmente: fra gli indirizzi di mail violati ce n’è uno dei miei, secondo HaveIBeenPwned, noto sito che avvisa gli utenti iscritti quando uno dei loro account è oggetto di furto di credenziali.

L’incidente di LinkedIn è un promemoria perfetto della ragione per la quale è sbagliatissimo usare la stessa password dappertutto “perché tanto la mia non la indovinerà mai nessuno”: oggigiorno non è più questione di indovinare, perché i ladri si riforniscono direttamente e in massa alla fonte, costituita dai fornitori di servizi su Internet. Di conseguenza, non ha importanza quanto siano forti le mie misure di sicurezza: quelle che contano sono quelle del fornitore di servizi. Che in questo caso erano decisamente scadenti.

Se usate la stessa password dappertutto e viene violato l’archivio di password di uno dei vostri fornitori di servizi, i criminali avranno gioco facile nel prendere il controllo di tutti i vostri account. Se prendono quello della mail, possono leggere tutta la vostra corrispondenza e soprattutto farsi mandare i link di reset delle password di tutti i vostri servizi online.

Se avete un account su LinkedIn, vi conviene cambiarne la password, rendendola diversa dalle altre che usate; se avete usato la password di LinkedIn anche per altri siti, cambiate anche le password di questi siti. E per ridurre il rischio che capiti di nuovo, attivate la verifica in due passaggi (o autenticazione a due fattori): accedete al vostro profilo, cliccate sulla vostra icona del profilo e scegliete Privacy e impostazioni. Ricordatevi di attivare l’opzione Vuoi uscire da tutte le sessioni?, perché c’è una vulnerabilità di LinkedIn non risolta che consente il furto di password se avete altre sessioni aperte (per esempio sul telefonino), e aggiungete un numero di telefonino per consentire la verifica in due passaggi: in questo modo per rubarvi l’account dovranno avere anche il vostro telefonino.

Una delle raccomandazioni più frequenti e più largamente ignorate di tutta la sicurezza informatica è non usare la stessa password in più di un sito e non fidarsi della capacità dei social network di custodire le password degli utenti, perché se sbagliano qualcosa la faranno franca. La dimostrazione perfetta di questa regola è arrivata di recente a proposito di LinkedIn.

Nel 2012 LinkedIn fu colpita dal furto di 6,5 milioni di password a causa di un suo errore madornale: le custodiva senza fare salting (ossia cifrandole senza aggiungervi una sequenza casuale di bit per rendere difficile decifrarle in caso di furto). Circa 800.000 utenti americani dei servizi premium di LinkedIn hanno avviato una class action che è arrivata adesso a un accordo: un risarcimento di 1,25 milioni di dollari. In pratica, tolte le parcelle degli avvocati, per ciascun utente colpito spetta grosso modo un dollaro, magari qualcosina di più se il numero delle richieste di risarcimento è minore del numero dei partecipanti alla class action.

In altre parole, se un social network commette un errore grave nel custodire la password che protegge il vostro account e vi causa perdite di lavoro, di amicizie o di reputazione, affari vostri, e non importa se dice che “prende molto sul serio la privacy e la sicurezza dei suoi membri”. Tenetelo presente prima di affidare i vostri dati e le vostre comunicazioni a questi servizi.