Nonostante anni di campagne di sensibilizzazione, le password rimangono il punto più vulnerabile della nostra vita digitale. Secondo il rapporto annuale di NordPass, le password più usate al mondo nel 2025 sono ancora combinazioni imbarazzanti come “123456”, “password” e “qwerty123”. In Italia la situazione non è molto diversa, con “ciao”, “juventus” e date di nascita che dominano la classifica delle password più diffuse.
Il problema è reale e concreto: una password debole è come lasciare la porta di casa aperta. Con gli strumenti di attacco moderni, un computer può provare milioni di combinazioni al secondo. Una password come “mario1985” viene violata in meno di un secondo, mentre una password casuale di 16 caratteri richiederebbe miliardi di anni. In questo articolo vedremo come creare password robuste e, soprattutto, come gestirle senza dover impazzire nel ricordarle tutte.
Una password sicura deve avere alcune caratteristiche fondamentali. La prima è la lunghezza: ogni carattere aggiuntivo aumenta esponenzialmente il numero di combinazioni possibili. Si raccomandano almeno 12-16 caratteri, ma più sono meglio è. La lunghezza è in assoluto il fattore più importante per la sicurezza di una password, ancora più della sua complessità.
La seconda caratteristica è la complessità: la password dovrebbe includere lettere maiuscole, lettere minuscole, numeri e caratteri speciali. Questo perché un attacco di forza bruta che deve provare combinazioni con 80+ caratteri possibili (lettere, numeri, simboli) è molto più lento di uno che ne prova solo 26 (lettere minuscole). Una password come “Tr4!nFe$ta#28zQ” è enormemente più resistente di “trainefesta28”.
La terza regola è l’unicità: ogni account deve avere una password diversa. Questo è il punto dove la maggior parte delle persone fallisce, perché ricordare decine di password complesse sembra impossibile. Se usate la stessa password per la banca, per l’email e per un forum online, quando quel forum viene violato (e prima o poi succederà), gli attaccanti avranno accesso anche alla vostra banca e alla vostra email.
Esistono diverse tecniche per creare password che siano sia sicure sia relativamente facili da ricordare. La prima è il metodo della frase password (passphrase): scegliete una frase che abbia significato per voi e trasformatela in una password. Ad esempio, “Ho comprato la mia prima auto a 18 anni a Roma” potrebbe diventare “HclmpAa18aR!” o meglio ancora usate direttamente le parole “CompraiAutoA18AnniRoma!” che è lunga e memorizzabile.
Un’altra tecnica efficace è il metodo delle parole casuali: scegliete 4-5 parole completamente casuali e non correlate tra loro, come “Finestra Cammello Violino Nuvola Settembre”. Questa passphrase è lunga 42 caratteri, praticamente impossibile da violare con forza bruta, e relativamente facile da memorizzare visualizzando un’immagine mentale assurda. Potete aggiungere un numero e un simbolo per maggiore sicurezza.
Il metodo delle sostituzioni creative consiste nel prendere una parola o frase e sostituire alcune lettere con numeri o simboli: “a” diventa “@”, “e” diventa “3”, “s” diventa “$” e così via. Attenzione però: gli attaccanti conoscono bene queste sostituzioni standard e le includono nei loro dizionari di attacco. È preferibile usare sostituzioni personali e non convenzionali che rendano la password unica.
La realtà è che nel 2026, con decine o centinaia di account online, è materialmente impossibile ricordare una password unica e complessa per ciascun servizio. La soluzione definitiva sono i password manager: applicazioni che generano, memorizzano e inseriscono automaticamente password complesse per ogni account, proteggendo il tutto con un’unica password principale (master password).
I password manager più affidabili e diffusi includono Bitwarden (open source e gratuito nella versione base), 1Password (ottima interfaccia e funzionalità family), KeePass (completamente offline e open source) e Dashlane (include VPN e monitoraggio dark web). Ognuno ha i propri punti di forza, ma tutti condividono le funzionalità fondamentali per gestire le password in modo sicuro.
Con un password manager, dovete ricordare solo la master password (che deve essere molto robusta) e il software si occupa di tutto il resto. Genera automaticamente password casuali di 20-30 caratteri per ogni nuovo account, le salva in un archivio crittografato e le inserisce automaticamente quando visitate un sito web. Potete anche salvare note sicure, codici di recupero e altre informazioni sensibili nello stesso archivio protetto.
Anche la password più sicura del mondo può essere compromessa attraverso phishing, malware o violazioni dei server del servizio. L’autenticazione a due fattori (2FA) aggiunge un secondo livello di protezione richiedendo, oltre alla password, un codice temporaneo generato da un dispositivo in vostro possesso. Anche se qualcuno ruba la vostra password, non potrà accedere all’account senza il secondo fattore.
I metodi 2FA più comuni sono: gli SMS con codice temporaneo (il metodo più semplice ma meno sicuro, vulnerabile al SIM swap), le app di autenticazione come Google Authenticator, Microsoft Authenticator o Authy (generano codici temporanei che cambiano ogni 30 secondi), e le chiavi di sicurezza fisiche come YubiKey (il metodo più sicuro in assoluto, immune al phishing).
Il consiglio è di attivare la 2FA su tutti gli account che la supportano, dando priorità a quelli più critici: email principale, banca online, social media e cloud storage. La maggior parte dei servizi online offre questa opzione nelle impostazioni di sicurezza dell’account. Usate preferibilmente un’app di autenticazione piuttosto che gli SMS per una protezione più robusta.
Il sito Have I Been Pwned (haveibeenpwned.com) permette di verificare se il vostro indirizzo email è presente in database di violazioni note. È un servizio gratuito e sicuro, creato dall’esperto di sicurezza Troy Hunt. Se il vostro email risulta in una violazione, dovete cambiare immediatamente la password del servizio compromesso e di tutti gli account dove avete usato la stessa password.
Quando cambiate una password compromessa, non limitatevi a fare modifiche minime (come aggiungere un numero alla fine). Create una password completamente nuova e diversa da tutte le precedenti. Se usate un password manager, generate una nuova password casuale. Se l’account compromesso aveva la 2FA attiva, il danno è probabilmente limitato, ma cambiate comunque la password per precauzione.
Molti password manager includono una funzione di monitoraggio delle violazioni che vi avvisa automaticamente quando una vostra password compare in un database di violazioni. Questa funzione è estremamente preziosa perché vi permette di reagire rapidamente prima che qualcuno possa usare le vostre credenziali. Alcune versioni premium offrono anche il monitoraggio del dark web.
La sicurezza delle password è solo una parte della protezione informatica complessiva. Qwerty Roma offre consulenze complete sulla sicurezza digitale per privati e aziende: dalla configurazione dei password manager all’implementazione dell’autenticazione a due fattori, dalla verifica delle vulnerabilità alla formazione del personale. Contattaci per una valutazione gratuita della sicurezza dei tuoi account e proteggi la tua vita digitale con l’aiuto dei nostri esperti.
Christian D'Epiro, titolare di Linea Ufficio Informatica, è un esperto nell'assistenza PC, rivendita di prodotti ricondizionati e nella creazione di siti web. La sua missione è rendere la tecnologia accessibile a tutti.
