Account takeover: cosa succede davvero quando qualcuno dirotta il login di un inserzionista

Una password che vale piu' dell'account che apre

La maggior parte degli account in rete non contiene niente che un ladro possa usare direttamente. Una credenziale rubata di un forum o di una newsletter vale pochi centesimi su un mercato criminale, perche' dietro non c'e' niente. L'account di un inserzionista su un sito di annunci e' un animale diverso. Dietro quel login ci sono un abbonamento pagato legato a una carta salvata, mesi o anni di posizionamento che un annuncio nuovo di zecca non potrebbe mai comprarsi indietro, un badge che e' costato un vero lavoro di verifica, e un numero o una casella di posta che i clienti gia' esistenti si fidano a contattare. Chi possiede la password eredita tutto questo all'istante, senza periodo di attesa e senza nuovi controlli.

E' questo che rende questi account convenienti da rubare anche quando non c'e' nessun saldo in contanti al loro interno. Un criminale che si impossessa di un annuncio non ha bisogno di svuotare un portafoglio. Gli servono il badge, la posizione nei risultati di ricerca e la fiducia che entrambi rappresentano, e li ottiene tutti e tre nel momento in cui la password funziona. L'annuncio stesso puo' essere sostituito del tutto, foto diverse, numero diverso, citta' diversa, mentre i segnali di credibilita' che la piattaforma ha impiegato mesi a costruire restano esattamente dove erano.

Gli operatori tendono a difendere poco questi account proprio perche' il loro valore non e' un numero in un campo saldo. Una banca costruisce i controlli antifrode attorno a una cifra precisa. Un sito di annunci deve invece difendere reputazione e posizione nei motori di ricerca, beni che non compaiono in un bilancio ma su cui un cliente si affida in modo altrettanto concreto quando decide se fidarsi dell'annuncio di uno sconosciuto. Trattare i login degli inserzionisti come account a basso rischio solo perche' non c'e' contante dietro significa leggere male cio' che e' davvero in gioco.

Il vuoto emerge per la prima volta nei ticket di assistenza, non nei cruscotti antifrode: un inserzionista scrive insistendo di non aver mai pubblicato cio' che ora e' online a suo nome, oppure un cliente si lamenta di un annuncio che ha smesso di rispondere come faceva prima. Quando arriva uno dei due messaggi, l'account e' di solito gia' nelle mani di qualcun altro da giorni.

Come viene rubato davvero il login

Pochissime di queste appropriazioni coinvolgono un criminale che punta specificamente a un inserzionista. Lo schema molto piu' comune e' il credential stuffing: un aggressore prende coppie di email e password trapelate da una violazione completamente estranea, magari un sito di shopping o un forum che non ha niente a che vedere con il sito di annunci, e le prova automaticamente contro il modulo di accesso qui, scommettendo che una quota significativa di persone riusa la stessa password ovunque. Chi si occupa di sicurezza classifica questo come una categoria di attacco automatizzato distinta dal semplice tentativo di indovinare una password, proprio perche' non si sta indovinando niente. Ogni credenziale provata ha gia' dimostrato di funzionare da qualche altra parte.

Il phishing e' l'altra fonte principale, e le due si alimentano a vicenda. Una email finta su un annuncio segnalato o un abbonamento in scadenza, confezionata per sembrare che arrivi dalla piattaforma, porta l'inserzionista su una pagina di accesso che cattura tutto cio' che digita. Quelle coppie rubate finiscono spesso nelle stesse liste usate poi per attacchi di stuffing contro altri siti, quindi i due vettori non sono davvero in concorrenza: sono fasi della stessa filiera.

Cio' che rende difficile fermare il credential stuffing con la soluzione ovvia sono la scala e la distribuzione. Una manciata di accessi falliti da un unico indirizzo IP viene bloccata da quasi qualsiasi sistema di blocco elementare. Migliaia di tentativi distribuiti su un gruppo rotante di proxy residenziali, pochi per indirizzo, sembrano traffico normale a una difesa costruita per bloccare un indirizzo dopo pochi fallimenti. Ecco perche' i tentativi contro qualsiasi modulo di accesso che protegge qualcosa di valore tendono a essere un rumore di fondo costante e a basso livello, non un evento raro e clamoroso, e perche' pensare alla sicurezza dell'account solo dopo che un incidente viene segnalato e' gia' troppo tardi.

La conseguenza pratica per un operatore e' che il modulo di accesso stesso e' la prima linea, non la coda di assistenza che gestisce le conseguenze. Qualunque cosa venga costruita per rallentare questo fenomeno deve funzionare contro tentativi continui e distribuiti, non contro una singola persona palesemente sospetta che prova lo stesso account cinquanta volte di fila.

Cosa costa davvero, una volta che qualcuno e' dentro

La prima cosa che un aggressore con un accesso funzionante di solito fa e' controllare a cosa l'account puo' arrivare: dati di fatturazione, informazioni sui pagamenti in uscita, il contenuto dell'annuncio stesso, e qualunque recapito instradi l'interesse dei clienti in arrivo. Cambiare il numero di contatto o l'account di messaggistica collegato e' spesso la primissima mossa, perche' devia silenziosamente ogni futura richiesta di un cliente verso l'aggressore invece che verso il vero inserzionista, che non ha idea che qualcosa sia cambiato finche' un cliente non lo menziona o i soldi non smettono di arrivare.

Il badge e' la seconda vittima, ed e' quella che conta di piu' per la reputazione della piattaforma stessa. Definire un annuncio verificato e' un'affermazione su un processo che era vero in un momento specifico, non un fatto permanente su chiunque gestisca ora la pagina, e un account dirottato smentisce completamente quell'affermazione lasciando intatto il badge stesso. La persona con cui il cliente ha ora a che fare non e' mai stata controllata. Il segnale di fiducia della piattaforma sta garantendo per qualcuno che non ha mai visto.

Si muovono anche i soldi, e di solito attraverso la carta gia' registrata piuttosto che una nuova. Un aggressore che vuole verificare la validita' di una carta rubata, o semplicemente vuole finanziare una promozione piu' pesante sull'account appena preso, compra crediti pubblicitari o una posizione in evidenza usando il metodo di pagamento che il vero inserzionista aveva salvato. Quando l'effettivo titolare della carta se ne accorge, la contesta con la propria banca, e quella contestazione conta esattamente sulle stesse soglie di frode e tasso di contestazione che gia' mettono in allerta un conto commerciante ad alto rischio, solo che stavolta l'operatore non puo' nemmeno indicare un rapporto con un cliente andato storto. La carta registrata apparteneva a qualcuno che non ha mai autorizzato l'acquisto specifico fatto da uno sconosciuto con il proprio login rubato.

Sotto tutto questo c'e' un costo di assistenza facile da sottovalutare: due persone, il vero inserzionista e chiunque l'aggressore stia ora impersonando davanti a loro, credono entrambe di avere a che fare con un account legittimo, e qualcuno dalla parte della piattaforma deve capire quale versione sia quella vera, ripristinare quella corretta, e spiegare a un cliente perche' la persona con cui aveva scambiato messaggi per una settimana non era chi pensava.

Se questo diventa un obbligo legale, non solo un ticket di assistenza

Se un'appropriazione di account crea un obbligo legale di notifica dipende esattamente da cosa l'aggressore ha potuto vedere, non solo dal fatto che si sia collegato. La California e' stata il primo stato ad aggiungere le credenziali di accesso compromesse, nello specifico un nome utente o un indirizzo email combinato con una password o la risposta a una domanda di sicurezza, a cio' che conta come informazione personale secondo la sua legge sulla notifica delle violazioni, gia' nel 2014, e da allora piu' di una dozzina di altri stati hanno aggiunto un linguaggio simile per conto proprio. Dove questa categoria si applica, un'appropriazione limitata al solo accesso, senza numero di previdenza sociale, documento governativo o numero di conto finanziario esposti, puo' da sola far scattare un obbligo di notifica.

Quello che questo obbligo richiede davvero e' di solito piu' leggero di quanto si pensi, ed e' bene conoscere la differenza prima di decidere quanto preoccuparsi. Diversi tra gli stati che coprono le credenziali compromesse in questo modo permettono all'operatore di soddisfare il requisito con una notifica piu' ristretta, che si limita a invitare la persona interessata a reimpostare la password e qualunque domanda di sicurezza collegata, invece del pacchetto di notifica piu' completo che un numero di previdenza sociale rubato richiede, comprensivo di notifica al regolatore e, in alcuni stati, di un'offerta di monitoraggio del credito. Diversi stati richiedono inoltre una notifica solo quando esiste un rischio reale di furto d'identita' o danno finanziario, quindi un'appropriazione limitata al solo accesso, senz'altro esposto, in quei luoghi puo' restare del tutto fuori dall'obbligo.

Questo e' esattamente il motivo per cui i dettagli di cosa l'aggressore abbia davvero raggiunto contano piu' del semplice fatto che si sia collegato. Una sessione arrivata solo all'editor dell'annuncio e' un evento diverso, legalmente, da una che ha aperto la pagina con il numero di conto bancario dei pagamenti o un documento d'identita' scansionato caricato durante la verifica. Registrare cosa e' stato visto, non solo quando e' avvenuto l'accesso, e' cio' che permette di decidere in fretta quale regola si applichi davvero invece di indovinare sotto pressione mentre un cliente sta gia' facendo domande.

Niente di tutto questo richiede un ufficio legale a libro paga per farlo bene. Richiede di sapere, prima del primo incidente, in quale categoria ricadrebbe un'appropriazione di account su questa piattaforma, e di avere gia' pronta quella risposta invece di cercarla per la prima volta mentre un inserzionista sta gia' minacciando di chiamare un avvocato.

Cosa lo ferma davvero, in ordine

L'autenticazione a piu' fattori sul login degli inserzionisti e' la singola misura piu' efficace, perche' sconfigge direttamente il credential stuffing: l'aggressore ha una password funzionante, ma non il secondo fattore, e il tentativo fallisce a prescindere da quante coppie di password valide stia provando. Le attuali linee guida sull'identita' digitale del NIST, definite nel 2025 e scritte per i sistemi federali ma usate ampiamente altrove come punto di riferimento proprio per questo problema, descrivono la stessa conclusione dal lato di chi si difende: invece di costringere gli utenti a cambiare password a scadenza fissa, cosa che perlopiu' insegna alle persone a scegliere password piu' deboli ma facili da ricordare mentre le cambiano, le linee guida chiedono di forzare un cambio solo quando c'e' una prova effettiva di compromissione, di controllare ogni nuova password contro elenchi di valori comuni o gia' noti come compromessi, e di limitare il numero di tentativi di accesso falliti consecutivi che un singolo account tollera prima di bloccarsi. Niente di tutto questo e' ingegneria esotica. E' un modulo di accesso che oppone resistenza.

Chiudere ogni sessione attiva nel momento in cui una password cambia blocca la mossa successiva piu' comune, quella in cui un aggressore che viene escluso da un reset della password continua semplicemente a usare la sessione che aveva gia' aperto prima del reset. Senza questo passaggio, un reset della password protegge il prossimo accesso, non quello gia' in corso.

Trattare un cambiamento improvviso e importante a un annuncio prima verificato come un segnale che merita un secondo sguardo, non solo un'approvazione da far passare, intercetta uno schema specifico che un account dirottato produce quasi ogni volta: nuove foto, un nuovo numero di telefono, e un badge che resta dal prima, tutto cambiato nella stessa sessione. Un breve controllo manuale prima che questa combinazione vada online costa un momento di lavoro dello staff e blocca esattamente lo scenario in cui un badge guadagnato mesi prima finisce per garantire per qualcuno che non e' mai stato verificato.

I dati sui pagamenti in uscita meritano un blocco piu' forte di qualunque altra cosa nell'account, perche' e' l'unico campo che un aggressore cambia specificamente per dirottare soldi veri, non solo reputazione. Un periodo di attesa prima che un conto di pagamento modificato diventi attivo, insieme a un avviso inviato ai vecchi recapiti invece che ai nuovi, da' al vero inserzionista una finestra per accorgersi del cambiamento e opporsi prima che un solo pagamento vada nel posto sbagliato.

Niente di tutto questo deve succedere tutto insieme. Attivare l'autenticazione a piu' fattori per gli account che hanno un metodo di pagamento salvato, mettere un ritardo sui cambi dei dati di pagamento, e scrivere, in un paragrafo, cosa conta come incidente e chi decide se fa scattare un obbligo di notifica sono tre pomeriggi di lavoro, non un programma di sicurezza. L'alternativa e' scoprire come si risponde a ciascuna di queste domande mentre un inserzionista e' gia' al telefono a chiedere perche' qualcun altro sta usando le sue foto.