🔐 10 Errori nella creazione delle password che causano la perdita dell'account nel 2026
Un'email, una banca, una dozzina di servizi e la stessa password ovunque. Al massimo con una cifra in fondo. Così è più comodo: niente da ricordare.
Non è più comodo solo per te. Una fuga di dati da un piccolo forum e la tua combinazione universale è già nel database di qualcuno. Poi viene provata in automatico sulla tua email, sulla tua banca, sul tuo hosting. Migliaia di tentativi al secondo, senza nessun essere umano coinvolto.
La buona notizia: quasi tutte le violazioni sfruttano le stesse abitudini e ognuna si può chiudere in mezz'ora. Ecco dieci di questi errori e i passi precisi che eliminano il rischio senza inutile paranoia.
💡 Panoramica rapida:
- Elimina le ripetizioni: ogni servizio deve avere la sua coppia login e password
- Verifica se le tue password contengono dati personali presi dai tuoi social media
- Attiva l'autenticazione a due fattori per email e banca
- Sposta le password da note e browser a un password manager
La stessa password per tutti gli account
L'errore più comune e quello più costoso. Una password viaggia dall'email ai social media e da lì ai fogli di lavoro. Facile da ricordare. Il problema è che salta tutto insieme.
La meccanica è semplice. Un attaccante prende un database trafugato da un sito minore, estrae le coppie email e password e le prova sui servizi principali. Questo è il credential stuffing. Basta un solo anello debole.
Secondo il Verizon DBIR 2025, le credenziali compromesse sono state il punto d'ingresso nel 22% delle violazioni confermate. Negli attacchi alle applicazioni web, le password rubate compaiono fino all'88% dei casi.
Come risolvere:
- Una password unica per ogni servizio, senza eccezioni
- Imposta un password manager: ricorderà tutto lui per te
- Inizia da ciò che è critico: email, banca, hosting, account di lavoro
Password corte e semplicistiche
123456, password e qwerty occupano i primi posti della classifica annuale NordPass da anni. La maggior parte delle password di quella lista viene violata in meno di un secondo. Non un minuto. Un secondo.
Le schede grafiche moderne testano milioni di combinazioni al secondo. Una password di 6-8 caratteri è una questione di tempo, non di fortuna. Ogni carattere in più moltiplica il numero di varianti di molte volte.
E una passphrase composta da quattro parole casuali è più robusta di P@ssw0rd! con caratteri speciali. Ed è anche più facile da tenere a mente.
Tipo di password | Esempio | Robustezza |
|---|---|---|
Semplicistica | 123456 | Violazione istantanea |
Parola più cifra | password123 | Violata in secondi |
Caratteri speciali ma corta | P@ss1! | Ore |
Passphrase | secchio tetto blu ponte | Decenni |
Cosa aiuta:
- Almeno 12 caratteri, idealmente 16 o più
- Una passphrase di 4-5 parole casuali invece di
ILoveDogs2024! - Un password manager genererà e ricorderà una stringa lunga per te
Dati personali nelle password
Nome, anno di nascita, nome del gatto, numero di telefono. È la prima cosa che un attaccante proverà. Perché è tutto pubblicamente disponibile da tempo.
Social media, profili pubblici, vecchie fughe di dati. Mettere insieme un dossier su una persona richiede minuti. Se la tua password è Misha1989 o Tommy123, non serve alcun brute force. Basta un'occhiata al tuo profilo.
Secondo un sondaggio 1Password del 2025, il 91% dei dipendenti comprende il rischio del riutilizzo delle password. E il 66% le riutilizza ancora. Il quadro è lo stesso con i dati personali: quasi tutti lo sanno, pochi lo fanno.
Cosa fare:
- Niente nomi, date, nomi di animali o numeri di telefono in una password
- Parole casuali o una stringa generata; non ci sono altre opzioni affidabili
- Se hai paura di dimenticare, un password manager se ne occuperà
Piccole modifiche a una vecchia password
Prima MyPass2023, un anno dopo MyPass2024, poi MyPass2025. Ti riconosci? Anche gli attaccanti conoscono questa logica.
Quando un database viene trafugato, la password non viene provata solo così com'è. Vengono generate automaticamente centinaia di varianti: aggiungere l'anno, un punto esclamativo, cambiare la maiuscola della prima lettera. Questione di secondi.
Cambiare la cifra in fondo non trasforma una password in una nuova. Resta prevedibile.
La soluzione:
- Ogni nuova password è completamente nuova, senza alcun legame con la precedente
- Dimentica lo schema "parola base più anno"
- Un password manager elimina il compito stesso di inventare e ricordare
Saltare l'autenticazione a due fattori
Una password è un fattore. Se viene rubata, l'accesso è aperto. L'autenticazione a due fattori aggiunge una seconda barriera: un codice monouso da un'app o una chiave hardware.
Secondo il Microsoft Digital Defense Report 2025, oltre il 97% degli attacchi agli account usa le password. Nel frattempo, l'MFA resistente al phishing blocca più del 99% di questi tentativi. Il divario tra "senza secondo fattore" e "con secondo fattore" è enorme.
I codici SMS sono meglio di niente, ma peggio di un'app. Gli SMS possono essere intercettati tramite SIM swapping. Google Authenticator, Microsoft Authenticator o Authy funzionano offline e non sono legati a un numero di telefono.
Come attivarlo:
- Attiva l'autenticazione a due fattori nelle impostazioni dell'account
- Scegli un'app authenticator, non gli SMS
- Inizia da email, banca e social media; conserva i codici di backup
Conservare le password in note e file di testo
Note sul telefono, passwords.txt sul desktop, un foglio Excel, uno screenshot nella galleria. Sembra innocuo: il file è sul mio dispositivo, dopotutto.
Chiunque arrivi al dispositivo lo vedrà. Il malware scansiona il disco e raccoglie i file di testo con i login. Le note sul cloud si sincronizzano e una violazione del cloud espone tutto in una volta. Uno screenshot con le password lo trova chiunque prenda in mano il telefono.
Nessuno di questi metodi cifra i dati. È testo in chiaro, in piena vista.
Come chiudere la falla:
- Sposta le password in un password manager: è una cassaforte cifrata
- Dopo averle spostate, elimina i file di testo e gli screenshot con le password
- Imposta un blocco schermo e la cifratura del disco sul dispositivo
Inviare password via messenger ed email
"Butta la password dell'abbonamento in chat", "Login e password in DM". Una storia comune per account familiari, progetti condivisi e team freelance.
Il problema è che il messaggio resta nella conversazione per sempre. Viene inoltrato, copiato, letto alle spalle quando si mostra lo schermo. L'email di una parte viene violata e la password viaggia oltre. Il controllo su chi la vede si perde nel momento in cui viene inviata.
Nei team di lavoro è doppiamente pericoloso: un dipendente uscito conserva l'accesso a un account condiviso tramite la cronologia della chat. Succede regolarmente.
Cosa fare invece:
- Per gli abbonamenti familiari, usa la funzione di condivisione integrata
- Nei team, crea un account separato per ogni persona
- Per un passaggio una tantum, usa la condivisione sicura nel manager, poi cambia la password subito dopo
Ignorare le notifiche di violazione
Arriva un'email: "I tuoi dati potrebbero essere stati compromessi". La maggior parte delle persone la ignora: l'account funziona, quindi deve essere tutto a posto.
Tra una fuga di dati e una violazione passano mesi, a volte anni. I database rubati vengono rivenduti, fusi, arricchiti. Chi ha comprato il dump oggi proverà la tua password domani. O tra un anno.
La scala cresce, non diminuisce. Secondo una stima del rapporto sul cybercrime 2026, circa 2,86 miliardi di credenziali sono emerse in fughe di dati e log di malware durante il 2025. Ignorare un'email del genere significa regalare un vantaggio all'attaccante.
Come reagire:
- Se ricevi una notifica, cambia immediatamente la password
- Verifica se la stessa password era usata su altri servizi e cambiala anche lì
- Attiva il monitoraggio delle violazioni nel tuo manager o tramite il servizio Have I Been Pwned
Affidarsi solo alla memoria integrata del browser
Il browser offre di salvare la password al login e compila i campi da solo. Milioni di persone si fermano lì.
Ma la memoria del browser non è una cassaforte. Su un computer condiviso, le password salvate sono accessibili alla prossima persona che si siede. Il malware sa come estrarre le password direttamente dal browser. Se il laptop viene rubato, il ladro ottiene tutto ciò che era salvato.
Il vault del browser è un comodo blocchetto di appunti. Non cifra le password con una chiave master e non genera combinazioni robuste.
Come risolvere:
- Usa un password manager completo invece del browser
- Sui dispositivi condivisi, disconnetti sempre gli account
- Attiva la cifratura del disco e un blocco schermo sul laptop
Password che non vengono cambiate da anni
Imposti una password alla registrazione e te ne dimentichi. L'account funziona, perché toccarlo.
Nel corso degli anni, la password potrebbe essere emersa in diverse fughe di dati di cui non sei a conoscenza. I database delle violazioni si accumulano. Anche se oggi è tutto pulito, il quadro cambia sei mesi dopo. Email, banca e cloud sono punti critici dove una vecchia password è particolarmente pericolosa.
Il recente rapporto IBM Cost of a Data Breach 2025 stima il danno medio di una violazione tramite credenziali compromesse in 4,67 milioni di dollari e il tempo medio di rilevamento e contenimento in 246 giorni. Quasi un anno dall'intrusione alla risposta. Per tutto quel tempo, la password non cambiata sta lavorando contro di te.
Cosa fare:
- Cambia le password degli account critici una volta all'anno
- Dopo una fuga di dati, fallo immediatamente, senza aspettare la data programmata
- Se ricevi un avviso di accesso sospetto, cambia subito la password
Un breve video sull'argomento rafforzerà il punto principale: come costruire password robuste e non tenerle solo nella tua testa.
⁉️🤔 Domande frequenti
Un password manager è sicuro? Non è rischioso tenere tutte le password in un unico posto?
È sicuro se il manager usa un'architettura a conoscenza zero:
Bitwarden,1Passwordo i vault integrati diApplee
È vero che una passphrase di parole casuali è più robusta di P@ssw0rd! con caratteri speciali?
Sì, la lunghezza batte la complessità.
ведро крыша синий мостè di 22 caratteri e ha uno spazio di ricerca colossale. I caratteri speciali in una password corta aggiungono una quantità minima di entropia rispetto a una parola in più. L'istitutoNIST, nel suo standard SP 800-63B, dal 2024 consiglia di puntare proprio sulla lunghezza.
L'SMS per l'autenticazione a due fattori è cattivo?
Non cattivo, ma insufficiente. Un codice SMS è meglio di nessun secondo fattore. Ma una SIM card può essere riemessa tramite social engineering e il codice stesso può essere intercettato tramite vulnerabilità del protocollo SS7. Un'app authenticator o una chiave hardware
YubiKeysono sensibilmente più forti.
Come verifico se la mia password è stata coinvolta in una fuga di dati?
Apri Have I Been Pwned e inserisci la tua email. Il servizio mostrerà in quali violazioni è comparsa. Per verificare una password specifica, c'è la sezione Pwned Passwords: cerca una corrispondenza hash tra miliardi di record senza rivelare la password stessa. Molti manager integrano questo controllo.
Non sono pronto a impostare un password manager adesso; da dove inizio?
Inizia in piccolo. Cambia la password dell'email con una passphrase di quattro parole casuali. Attiva l'autenticazione a due fattori per email e banca. Elimina il file
passwords.txtdal desktop. Questi tre passi richiederanno circa 15 minuti e chiuderanno i rischi principali. Il manager puoi impostarlo più tardi.
Cambiare abitudini oggi o "prima o poi"?
Le password deboli non sono una storia spaventosa dalle notizie sugli hacker. È una cascata concreta: una password trafugata porta all'email, l'email porta ai reset delle password su tutti i servizi collegati e poi a soldi, documenti e progetti. Mezz'ora di prevenzione costa incomparabilmente meno che recuperare l'accesso.
Fai tre passi oggi: una password unica per l'email, l'autenticazione a due fattori, un password manager. Se non sei pronto per un manager, almeno elimina le ripetizioni e attiva il secondo fattore per gli account critici. È già più di quanto faccia la maggior parte delle persone. Con quale passo inizierai adesso?
Un team professionale di scrittori e redattori specializzati nella creazione di contenuti di qualità.