Come difendersi da un attacco brute force: guida pratica
Per capire come difendersi da un attacco brute force bisogna partire da un principio semplice: rendere ogni tentativo di indovinare una password lento, inutile o impossibile. Le difese più efficaci sono l'autenticazione a più fattori, password lunghe e uniche, limiti ai tentativi di accesso, servizi non esposti inutilmente e un monitoraggio dei log che segnali anomalie.
In questa guida vediamo come funziona questo tipo di attacco, quali varianti esistono e quali misure pratiche può adottare un'azienda, anche piccola, per ridurre il rischio.
Cos'è un attacco brute force e perché funziona ancora
Un attacco brute force consiste nel provare in modo sistematico un gran numero di combinazioni di credenziali finché una non funziona. Non sfrutta un errore nel software: sfrutta la debolezza di chi sceglie e gestisce le password.
Funziona ancora per tre motivi. Gli strumenti automatici possono provare moltissimi tentativi senza intervento umano. Molte persone riusano la stessa password su più servizi. Infine, spesso i sistemi non limitano il numero di tentativi o non avvisano nessuno quando falliscono in massa.
Per questo il brute force è spesso il primo passo di una catena più lunga. Una volta entrato, l'attaccante può cercare di ottenere privilegi più alti o di installare un ransomware. Per approfondire la differenza tra un punto debole e il modo in cui viene usato, leggi anche vulnerabilità ed exploit: qui il punto debole è l'accesso protetto male, non un bug del programma.
Le principali varianti del brute force
Non tutti gli attacchi alle credenziali sono uguali. Conoscere le varianti aiuta a scegliere le contromisure giuste.
| Variante | Come funziona | Difesa più efficace |
|---|---|---|
| Brute force classico | Prova molte combinazioni su un singolo account | Password lunghe, blocco temporaneo, MFA |
| Attacco a dizionario | Prova password comuni o derivate da elenchi di termini | Divieto di password banali, passphrase |
| Credential stuffing | Usa credenziali già trapelate da altri servizi | Password uniche, MFA, controllo delle credenziali compromesse |
| Password spraying | Prova poche password comuni su molti account | Monitoraggio per IP e per password, MFA |
Il credential stuffing è particolarmente insidioso: l'attaccante non indovina nulla, usa dati reali provenienti da altre violazioni. Se un dipendente usa la stessa password per un servizio personale e per la posta aziendale, il rischio si trasferisce direttamente in azienda.
Come difendersi da un attacco brute force: le misure essenziali
Nessuna singola misura basta. L'approccio efficace combina più livelli, in modo che se uno cede gli altri continuino a proteggere l'accesso.
1. Attiva l'autenticazione a più fattori
È la contromisura con il miglior rapporto tra costo e beneficio. Anche se la password viene indovinata o è già stata rubata, l'attaccante non può accedere senza il secondo fattore. Dai priorità a posta elettronica, accessi remoti, pannelli di amministrazione, gestionali e servizi cloud.
Dove possibile, preferisci app di autenticazione o chiavi di sicurezza fisiche rispetto agli SMS, che sono considerati meno robusti.
2. Scegli password lunghe, uniche e gestite bene
La lunghezza pesa più della complessità apparente. Una frase lunga e facile da ricordare per te è più difficile da indovinare di una parola corta con un simbolo finale. Un password manager permette di usare una credenziale diversa per ogni servizio senza doverla memorizzare.
Evita elenchi condivisi in fogli di calcolo o chat. Se un servizio segnala che le tue credenziali sono comparse in una violazione, cambiale subito.
3. Limita i tentativi di accesso
Imposta un rallentamento progressivo dopo i tentativi falliti, un blocco temporaneo e, dove ha senso, un controllo anti-bot. Attenzione però a non creare un problema opposto: un blocco troppo rigido può essere usato per tenere fuori gli utenti legittimi. Il rate limiting per indirizzo IP e per account è in genere un compromesso migliore.
4. Riduci la superficie esposta
Un servizio non raggiungibile da Internet non può essere attaccato da Internet. Controlla quali accessi remoti sono davvero necessari e valuta di proteggerli dietro VPN o con restrizioni per indirizzo. Gli accessi desktop remoto e SSH aperti senza protezioni sono bersagli frequenti, e spesso rappresentano un punto d'ingresso per i ransomware.
Disattiva account inutilizzati, rimuovi quelli di ex collaboratori e cambia le credenziali predefinite di dispositivi e applicazioni.
5. Proteggi le password lato sistema
Se gestisci un sito o un'applicazione, memorizza le password con algoritmi di hashing pensati per questo scopo e con salt, mai in chiaro. In caso di furto del database, questo rende molto più costoso per l'attaccante recuperare le credenziali originali. Fai riferimento alle indicazioni aggiornate dei framework di sviluppo che usi.
Come riconoscere un attacco brute force in corso
Un attacco lascia tracce, a patto di avere log attivi e qualcuno che li guardi. Ecco i segnali più comuni:
- un numero anomalo di accessi falliti in poco tempo;
- tentativi sullo stesso account da molti indirizzi IP diversi, o su molti account dallo stesso IP;
- accessi riusciti da località o a orari insoliti per l'utente;
- blocchi di account non spiegati o richieste di reset password non richieste;
- picchi di traffico verso pagine di login o servizi di accesso remoto.
Centralizza i log di server, firewall, posta e applicazioni in un unico punto e configura avvisi sulle soglie anomale. Non servono per forza strumenti complessi: conta che qualcuno sia responsabile di leggerli e di reagire.
Cosa fare se un accesso è stato compromesso
Se sospetti che un account sia stato violato, agisci in fretta e con ordine.
- Reimposta la password dell'account e termina tutte le sessioni attive.
- Attiva o verifica l'autenticazione a più fattori.
- Controlla le attività svolte: regole di inoltro nella posta, nuovi account, permessi modificati.
- Verifica se la stessa password era usata altrove e cambiala ovunque.
- Valuta se sono coinvolti dati personali: in tal caso confrontati con il tuo consulente legale o il DPO sugli obblighi di notifica previsti dal GDPR.
Se l'attaccante ha ottenuto privilegi elevati, il problema va oltre la singola password. Una privilege escalation riuscita può dargli controllo su più sistemi, quindi serve un'analisi più approfondita.
Brute force e altre vulnerabilità: il quadro completo
Il brute force è solo uno dei modi per entrare. Altri attacchi puntano a difetti nel codice, come SQL injection o cross site scripting, oppure a falle ancora sconosciute al produttore, le cosiddette vulnerabilità zero day. Difendersi da un tipo non protegge dagli altri.
Per questo un'azienda dovrebbe affiancare alle buone pratiche sugli accessi anche aggiornamenti regolari, backup verificati, segmentazione della rete e test periodici. Un penetration test può verificare se i tuoi accessi resistono a tentativi realistici di compromissione, comprese le password deboli e i servizi esposti. Chi rientra nell'ambito della NIS 2 dovrebbe inoltre verificare con i propri consulenti come i controlli di accesso rientrano tra le misure richieste.
Una checklist rapida per le aziende di Milano
Per studi professionali, PMI e realtà del territorio milanese, un buon punto di partenza è questa verifica:
- MFA attiva su posta, VPN, cloud e pannelli amministrativi;
- password manager adottato e password riusate eliminate;
- elenco aggiornato degli accessi remoti e dei servizi esposti;
- account dismessi disattivati;
- log attivi, conservati e controllati con avvisi sui tentativi anomali;
- un referente che sa cosa fare in caso di sospetto accesso non autorizzato.
Questa lista non sostituisce una valutazione tecnica, ma permette di individuare rapidamente le lacune più evidenti.
Conclusione
Difendersi dal brute force significa soprattutto togliere all'attaccante ciò che gli serve: password prevedibili, tentativi illimitati e servizi esposti senza controllo. Con MFA, buone abitudini sulle credenziali e un monitoraggio attento, il rischio si abbassa in modo significativo.
Se vuoi capire quanto sono solidi gli accessi della tua azienda, puoi scoprire le soluzioni di protezione di Fred for Security o approfondire l'approccio nella
Domande frequenti
Un attacco brute force può colpire anche una piccola azienda?
Sì. Gli attacchi sono spesso automatizzati e cercano servizi esposti a Internet senza scegliere la vittima in base alle dimensioni. Una PMI con un accesso remoto, un gestionale o un sito con pannello di login può essere bersaglio quanto una grande organizzazione.
Quanto deve essere lunga una password per resistere al brute force?
Non esiste una cifra valida per ogni caso, ma la lunghezza conta più della complessità apparente. Una passphrase lunga, unica per ogni servizio e gestita con un password manager, è molto più difficile da indovinare di una password corta con qualche simbolo.
Il blocco dell'account dopo troppi tentativi è sufficiente?
Aiuta, ma da solo non basta. Il blocco può essere aggirato da tecniche come il password spraying, che prova poche password su molti account, e può essere usato per bloccare utenti legittimi. Va combinato con autenticazione a più fattori, rate limiting e monitoraggio.
Come capisco se sono sotto attacco brute force?
I segnali tipici sono molti accessi falliti in poco tempo, tentativi su account diversi dallo stesso indirizzo IP, login da Paesi insoliti o a orari strani e blocchi di account inattesi. Servono log centralizzati e avvisi per notarli tempestivamente.