Alcuni noti password manager sono vulnerabili ad attacchi di clickjacking: a rischio i dati degli utenti

Il password manager è un servizio molto utile, in quanto consente di salvare le credenziali di accesso e di pagamento e di semplificare le procedure di autenticazione, con un funzionamento multi-dispositivo e multi-piattaforma che permette di avere sempre con sé i propri dati.

Per un corretto funzionamento, naturalmente, un password manager non può prescindere dall'utilizzo di un software sicuro e privo di vulnerabilità. Anche una sola falla, infatti, può mettere a rischio i dati degli utenti, compromettendo l'efficacia del servizio.

Come confermano i risultati di una ricerca, alcuni dei principali password manager sono attualmente vulnerabili a falle di clickjacking che possono rappresentare una minaccia concreta per milioni di utenti.

Una minaccia da non sottovalutare

Il clickjacking è una particolare tipologia di attacco informatico che punta a ingannare l'utente, inducendolo a cliccare su un elemento diverso da quello che si pensa di selezionare. Questa tecnica può essere utilizzata per vari scopi.

Secondo i risultati dell'indagine, realizzata dal ricercatore indipendente Marek Toth (i risultati sono stati pubblicati sul suo sito web) alcune estensioni per browser dei principali gestori di password sono vulnerabili a questo tipo di attacco.

In particolare, l'esecuzione di uno script su un sito web dannoso o compromesso può ingannare l'utente e mettere a rischio i dati (come le credenziali di accesso e di pagamento) custoditi dal password manager.

La vulnerabilità può essere sfruttata in vari modi ed è anche possibile utilizzare uno script in grado di adattare in tempo reale l'attacco al tipo di password manager utilizzato (considerando quelli vulnerabili a questa minaccia).

Toth ha avvertito le aziende che distribuiscono i password manager testati (11 in totale, scelti tra i più utilizzati). Secondo quanto rivelato dallo stesso ricercatore, la segnalazione della vulnerabilità è arrivata lo scorso aprile e le aziende sono state informate in merito alla pubblicazione dei risultati che sarebbe avvenuta ad agosto.

Al momento, sei password manager (1Password, Bitwarden, Enpass, iCloud Passwords, LastPass e LogMeOnce), per un totale di 40 milioni di utenti, sarebbero ancora vulnerabili, anche solo parzialmente, alla minaccia emersa dall'indagine. Come riportato da Bleepingcomputer, alcune aziende, come LastPass e LogMeOnce, hanno confermato di essere al lavoro per la risoluzione.