Nonostante l’evoluzione tecnologica costante nel campo della sicurezza informatica, la gestione delle password rimane uno degli aspetti più critici e allo stesso tempo più trascurati dagli utenti italiani, sia in ambito personale sia professionale. Password deboli, riutilizzate su più servizi o mai aggiornate rappresentano ancora oggi uno dei principali vettori sfruttati dai criminali informatici per ottenere accessi non autorizzati a sistemi e dati sensibili.
Il problema del riutilizzo delle password è particolarmente insidioso: quando un utente utilizza la stessa combinazione di credenziali su più servizi, la compromissione di uno solo di essi, magari a seguito di un data breach di cui l’utente non è nemmeno a conoscenza, espone automaticamente tutti gli altri account che condividono le medesime credenziali. I database di password rubate, scambiati e venduti sul dark web, vengono utilizzati dagli attaccanti in attacchi automatizzati noti come credential stuffing, che testano sistematicamente combinazioni di email e password note su migliaia di servizi diversi.
Le linee guida più aggiornate in materia di sicurezza delle credenziali, diffuse anche dalle principali autorità internazionali del settore, hanno progressivamente rivisto alcune convinzioni tradizionali: la complessità estrema imposta da regole rigide, come l’obbligo di caratteri speciali e cambi frequenti della password, si è rivelata spesso controproducente, portando gli utenti ad adottare pattern prevedibili o a scrivere le password su supporti facilmente accessibili. L’attenzione si è quindi spostata verso la lunghezza delle credenziali, con passphrase composte da più parole facilmente memorizzabili ma difficili da indovinare, e verso l’adozione di gestori di password, strumenti che permettono di generare e archiviare in modo sicuro credenziali uniche e complesse per ogni servizio utilizzato.
L’autenticazione a più fattori rappresenta oggi la misura di sicurezza più efficace ed economicamente accessibile per ridurre drasticamente il rischio di accesso non autorizzato, anche in caso di furto della password. Richiedere un secondo elemento di verifica, come un codice temporaneo generato da un’applicazione dedicata o una notifica push da confermare su un dispositivo fidato, rende molto più difficile per un attaccante sfruttare credenziali compromesse, anche quando queste sono state ottenute attraverso un attacco di phishing riuscito.
Le aziende italiane stanno progressivamente adottando standard più avanzati anche in materia di autenticazione, come le passkey, che eliminano completamente la necessità di una password tradizionale, sostituendola con meccanismi di autenticazione basati su crittografia a chiave pubblica e verifica biometrica del dispositivo. Questa tecnologia, ancora in fase di adozione graduale, promette di ridurre significativamente il rischio di phishing legato al furto di credenziali, poiché elimina alla radice l’elemento che gli attaccanti cercano di sottrarre.
Per gli utenti italiani, alcune abitudini restano fondamentali indipendentemente dall’evoluzione tecnologica: utilizzare password uniche per ogni servizio, affidarsi a un gestore di password affidabile, attivare l’autenticazione a più fattori ovunque disponibile, e verificare periodicamente, attraverso strumenti gratuiti disponibili online, se le proprie credenziali siano state coinvolte in data breach noti, adottando tempestivamente le contromisure necessarie in caso di esposizione.