Nel corso di un’ora più del 60 % delle password vengono sbloccate da hash MD5 grazie a una singola GeForce RTX 5090

Come si può violare rapidamente le password MD5: risultati della ricerca del «Laboratorio Kaspersky»

*Nel 2024, i ricercatori del “Laboratorio Kaspersky” hanno analizzato oltre 231 milioni di password rubate raccolte da perdite nel dark‑net. Dopo averle hashate con l’algoritmo MD5 si è scoperto che:*

- Il 60 % delle password può essere violato in meno di un'ora.

- Il 48 % già in meno di un minuto.

*Per questo serve solo una scheda video Nvidia GeForce RTX 5090.*

Perché è così veloce
1. Bassa complessità dell'MD5

L’algoritmo MD5 è ormai considerato obsoleto; i suoi hash possono essere enumerati facilmente con GPU moderne.

2. Ottimizzazione per password specifiche

L'analisi di oltre 200 milioni di password ha rivelato schemi (modelli frequenti, parole semplici ecc.) che riducono il tempo di ricerca.

3. Aumento della potenza delle GPU

Dall’inizio del primo studio nel 2024 le prestazioni delle GPU sono notevolmente cresciute, mentre le stesse password non sono diventate più complesse.

Cosa significa per gli utenti
- Le password protette solo da hash MD5 non possono più essere considerate sicure. Se un aggressore ottiene queste password da una perdita, può accedere rapidamente agli account.

- I professionisti hacker possono affittare potenza GPU dai provider cloud, quindi anche le schede economiche non rappresentano una minaccia.

Perché il problema è più complesso del semplice “passaggio a SHA”
Gli esperti di The Register evidenziano diversi fattori:

1. Scarsa consapevolezza

Utenti e organizzazioni conoscono poco i rischi delle password deboli.

2. Requisiti di password deboli

Su molte piattaforme le regole rimangono morbide, senza richiedere lunghezza, complessità o aggiornamento periodico.

3. Mancanza di ulteriori misure di protezione

- L’autenticazione a due fattori (2FA) è ancora vista come “sufficiente”; la biometria è considerata il secondo fattore più affidabile.

- I sistemi non sono sempre protetti dal movimento laterale dell’aggressore dopo l’iniziale violazione.

Cosa si può fare
- Passare a hash più resistenti (bcrypt, Argon2) e utilizzare sale.

- Implementare regole rigorose per le password: minimo 12 caratteri, combinazione di lettere, numeri e simboli speciali.

- Richiedere l’autenticazione a due fattori obbligatoria, preferibilmente con biometria o token hardware.

- Eseguire audit di sicurezza regolari e formare il personale.

In questo modo anche le semplici password MD5 rappresentano una minaccia seria. Le misure di protezione integrate sono l’unico modo per ridurre il rischio di attacchi informatici nelle condizioni odierne.