L'utilizzo di informazioni errate protegge i tuoi account dagli hacker?

Con l'aumento dei furti di dati e degli attacchi informatici, alcune persone hanno iniziato a ricorrere a un trucco non convenzionale per proteggere i propri account: immettere informazioni errate al momento della registrazione o rispondere alle domande di sicurezza. Come digitare un nome falso per il tuo insegnante preferito, o una risposta casuale alla domanda sulla tua città di nascita. L'idea sembra semplice, ma solleva una domanda importante: questo tipo di "inganno positivo" aiuta davvero a proteggere i tuoi account? In questo articolo esploriamo il concetto da tutte le angolazioni, spiegando quando è efficace e quando invece potrebbe fare più male che bene.

Siamo nel 2025 e, nonostante tutti i nostri gestori di password e le nostre passkey, il furto di account online è ancora un fenomeno diffuso. Un modo in cui mi proteggo da questi attacchi è la consolidata tradizione della menzogna.

Cosa sono le domande di sicurezza?

Le domande di sicurezza sono una forma di autenticazione a più fattori (MFA) in cui, dopo aver inserito la password, ti viene chiesto di rispondere a una domanda che "solo tu conosci". Queste domande includono informazioni come il nome del tuo primo animale domestico o la tua città natale. Si tratta di una delle forme più vecchie di autenticazione a più fattori su Internet, grazie alla sua semplicità.

Nonostante la loro età e la diffusione di metodi di autenticazione multifattoriale più avanzati, le domande di sicurezza restano popolari online. Infatti, la settimana scorsa ho dovuto creare un account importante, per il quale ho dovuto creare tre diverse domande di sicurezza. Per proteggere la sicurezza del mio account, non ho risposto sinceramente.

Perché le domande di sicurezza sono considerate non sicure?

Sebbene si tratti di un metodo di autenticazione a più fattori (MFA) semplice, è molto semplice. Si basa in gran parte su una premessa falsa: che a queste domande solo io possa rispondere. Ad esempio, molte persone conoscono il nome della propria nonna fin dalla nascita. Si trova nei verbali dei tribunali, nei documenti genealogici, nei necrologi e chissà dove altro.

Ho notato che molte domande di sicurezza danno per scontato che tu non sia cresciuto con Internet. Se da bambino avevi accesso a Internet, in particolare a blog e social media, probabilmente troverai ancora post sul tuo primo animale domestico in circolazione. Infatti, so esattamente dove puoi cercare online le risposte a domande come questa sul mio conto.

Questa può essere definita intelligence open source, spesso abbreviata in OSINT. Se hai una certa familiarità con l'OSINT, saprai quanto sia facile trovare informazioni accurate su qualcuno su Internet utilizzando semplici strumenti.

Oltre a navigare su Internet, hackerare le domande di sicurezza è facile come parlare con me o con qualcuno a me vicino. Questo si chiama ingegneria sociale. Ad esempio, qualcuno potrebbe impersonare una figura autoritaria, come un funzionario delle imposte, e chiedermi di "confermare la mia identità" rispondendo a una domanda come il nome di nascita di mia nonna. Per evitare che le tue domande di sicurezza vengano compromesse, devi sempre stare attento a questi attacchi nascosti.

Ma possiamo andare oltre. Supponiamo che tu e tutti coloro che conosci abbiano familiarità con l'ingegneria sociale. Devi anche renderti conto che le persone che ti conoscono potrebbero trarre vantaggio da questo fatto. Chiedetelo a chiunque abbia subito abusi: solo perché qualcuno ti è vicino non significa che sia affidabile. Un altro falso presupposto sulle domande di sicurezza è presumere che una persona abbastanza vicina a te da conoscere le risposte alle tue domande di sicurezza possa essere considerata attendibile e autorizzata ad accedere al tuo account.

La scelta migliore per le domande di sicurezza: Lie

Considerando tutto ciò, ho smesso di rispondere onestamente alle domande di sicurezza. Se devo usare una domanda di sicurezza per proteggere il mio account da un hacker, rispondo con una risposta inventata e strana. Dove sei nato? Narnia. Qual è stato il mio primo animale domestico? Un cervo di nome Bob. Naturalmente queste non sono le mie vere risposte, ma il concetto è chiaro.

Alcuni vanno oltre e non inseriscono nemmeno una parola nota nella risposta alla domanda di sicurezza. Qual era il nome di nascita di tua nonna? Forse H41%hg67Vc0s5^jQ. Questo metodo è simile all'utilizzo di una password secondaria complessa e rende la domanda di sicurezza resistente agli attacchi del dizionario. Tuttavia, non sono del tutto convinto che sia necessario, poiché il mio fornitore di account online molto probabilmente bloccherà il mio account se qualcuno prova a inserire più di qualche risposta alla domanda di sicurezza.

Beh, non dovresti fare nulla di tutto ciò se non sei completamente sicuro di riuscire a memorizzare le risposte. Le domande di sicurezza tradizionali hanno un grande vantaggio: sono facili da ricordare. Mentire nelle domande di sicurezza ti priva di questo vantaggio, perché ora devi memorizzare fatti inesatti su di te.

Potrebbe essere utile scrivere queste risposte, magari sotto forma di albero genealogico o di un breve racconto che descriva una vita immaginaria. Se sei come me, anche disegnare persone, luoghi e animali immaginari ti aiuterà.

Naturalmente, assicurati di salvare tutto ciò che scrivi in ​​un posto sicuro. Puoi salvarlo in un gestore di password oppure, per maggiore sicurezza, in un gestore di password separato. La cosa importante è non perdere l'accesso al tuo account e al tempo stesso mantenerlo sicuro.

L'utilizzo di informazioni errate in alcuni campi può garantire un certo livello di protezione, in particolare contro attacchi che sfruttano informazioni personali trapelate. Ma non sostituisce l'utilizzo di password complesse, l'abilitazione dell'autenticazione a due fattori e il monitoraggio regolare dell'attività dell'account. Se decidi di utilizzare questo metodo, assicurati di conservare in un luogo sicuro le informazioni false che hai utilizzato, in modo da non perdere la possibilità di recuperare il tuo account in seguito. Un trucco intelligente è completo solo quando è ponderato e integrato con altre misure di sicurezza di base.