Perché il riutilizzo è tutto il problema
I siti web subiscono violazioni di continuo, e le credenziali rubate vengono raccolte, combinate e pubblicate. I criminali usano poi strumenti automatici che prendono email e password da una violazione e provano la coppia su banche, negozi, provider di posta e social network. Si chiama credential stuffing e funziona perché quasi tutti hanno una o due password preferite con piccole variazioni.
Nota cosa significa: la tua password può essere perfettamente robusta e comunque inutile. Se il sito che la conservava è stato violato, la sua complessità è irrilevante — l'attaccante ha la stringa esatta. È l'unicità a contenere il danno; la complessità rallenta solo i tentativi a indovinare.
L'ordine delle priorità. Unica batte lunga, e lunga batte complicata. Una frase diversa e memorabile su ogni sito è molto più sicura di un'unica password geniale usata in cinque posti. Aggiungere un «1» o il nome del sito a una base comune non conta come unicità: quello schema è esattamente ciò che gli strumenti automatici provano subito dopo.
I gestori di password, valutati con onestà
Nessuno può ricordare cento password diverse, ed è per questo che il consiglio di usarne di uniche fallisce senza uno strumento. Un gestore di password le conserva cifrate, le inserisce al posto tuo e ne genera di nuove su richiesta.
L'obiezione ragionevole è: non significa mettere tutte le uova nello stesso paniere? Due risposte:
- Il tuo browser e la tua memoria sono già quel paniere, con una protezione più debole e molto più riutilizzo.
- I gestori affidabili cifrano i dati sul tuo dispositivo con una chiave derivata dalla tua password principale, quindi il fornitore conserva materiale che non può leggere. Una violazione del fornitore non consegna le tue password, a condizione che la password principale sia robusta.
C'è un vantaggio di sicurezza che spesso sfugge: un gestore di password non compila i campi sul dominio sbagliato. Se finisci su una copia convincente del sito della tua banca, il gestore semplicemente non propone la credenziale. Quel silenzio è un allarme antiphishing.
Impostazione pratica:
- Scegli una password principale lunga e unica, mai usata altrove, e annotala su carta conservata in un luogo fisicamente sicuro.
- Attiva l'autenticazione a due fattori sul gestore stesso.
- Importa le password salvate nel browser, poi rimuovile dal browser.
- Usa il controllo di sicurezza integrato per trovare password riutilizzate o compromesse e sistema per prime quelle importanti.
- Se uno strumento a pagamento non fa per te, il gestore integrato in un browser o in un sistema operativo importante è comunque un enorme miglioramento rispetto al riutilizzo.
Che cosa rende buona una password
- La lunghezza è il fattore più forte. Tre o quattro parole senza relazione tra loro — scelte a caso, non una frase famosa — battono una stringa breve di simboli sia per robustezza sia per memorabilità.
- La casualità conta più delle sostituzioni. Sostituire lettere con cifre somiglianti è uno schema notissimo e aggiunge pochissimo.
- Evita i dati personali: nomi, date di nascita, animali domestici, squadre e indirizzi sono tutti reperibili.
- Non cambiare le password a scadenza fissa senza un motivo. I cambi mensili obbligatori spingono verso schemi prevedibili. Cambia una password quando c'è una ragione: una violazione, un dispositivo condiviso o un sospetto.
- Anche le risposte alle domande di sicurezza sono password. Il cognome da nubile di tua madre è spesso pubblico. Conserva invece una risposta casuale nel gestore.
L'autenticazione a due fattori, in ordine di forza
L'autenticazione a due fattori significa dimostrare qualcosa in aggiunta alla password. Qualsiasi secondo fattore è un grande miglioramento rispetto a nessuno, ma non sono equivalenti.
| Metodo | Robustezza | Debolezza principale |
|---|---|---|
| Passkey o chiave di sicurezza fisica | Massima | Richiede configurazione e un metodo di riserva; non ancora offerta ovunque |
| App di autenticazione (codici a 6 cifre) | Alta | Il codice può comunque essere carpito se lo detti o lo digiti su un sito falso |
| Notifica di approvazione nell'app | Buona | Stanchezza da approvazione: si tocca «sì» per far cessare le notifiche |
| Codice via email | Media | Robusta quanto l'account di posta in cui arriva |
| Codice via SMS | La più debole tra queste | Attacchi di scambio SIM, e i codici sono il bersaglio classico delle truffe telefoniche |
| Nessuno | — | Basta una sola password trapelata |
L'SMS ha comunque il suo posto: è molto meglio di niente e per molti servizi è l'unica opzione. Dove puoi scegliere, preferisci una passkey o un'app di autenticazione, soprattutto per email, banca e qualsiasi cosa contenga denaro.
I codici sono solo per te. Nessun operatore di assistenza, corriere, agente di polizia o dipendente di una piattaforma ha mai bisogno di un codice inviato al tuo telefono. Se qualcuno te lo chiede, sta tentando di entrare nel tuo account mentre è al telefono con te. Rifiuta anche le notifiche di approvazione inattese e cambia poi quella password.
Le passkey: cosa cambiano
Una passkey sostituisce la password con una coppia di chiavi crittografiche. La metà privata resta sul tuo dispositivo, protetta da impronta, volto o PIN; il sito conserva solo la metà pubblica, inutile per un ladro.
Due proprietà contano per resistere alle truffe:
- Non c'è alcun segreto da carpire. Non si digita nulla, quindi non c'è nulla da digitare in una pagina falsa.
- È legata al dominio reale. Una passkey per la tua banca semplicemente non funziona su un sito sosia: il browser rifiuta, in silenzio e in modo affidabile.
Le passkey si sincronizzano tramite l'account del dispositivo o del browser, quindi perdere il telefono non significa restare fuori. Dove un sito le offre, attivarne una è la singola misura antiphishing più efficace disponibile oggi. Mantieni registrato un secondo metodo finché non sei sicuro della configurazione.
Proteggi prima l'email
La tua email non è un account tra tanti. È la chiave maestra: chi la controlla può reimpostare la password di quasi tutto il resto. Se dopo aver letto questa guida fai una cosa sola, fai questa.
- Assegnale una password lunga e unica, conservata nel gestore.
- Attiva il secondo fattore più robusto disponibile: passkey o app di autenticazione invece dell'SMS.
- Controlla regole di inoltro e filtri. Gli attaccanti aggiungono una regola che inoltra o cancella silenziosamente gli avvisi di sicurezza, così l'accesso sopravvive al cambio password.
- Verifica che l'indirizzo email e il numero di telefono di recupero siano ancora tuoi.
- Rivedi le app collegate e gli accessi di terze parti, rimuovendo tutto ciò che non conosci o non usi.
- Disconnetti tutte le altre sessioni e i dispositivi dopo qualsiasi sospetto.
Applica lo stesso trattamento, in quest'ordine, a: home banking, l'account collegato al telefono o allo store delle app, l'archiviazione cloud e qualsiasi servizio che conservi dati di pagamento.
Opzioni di recupero e codici di backup
Restare chiusi fuori dal proprio account è un rischio concreto quando si aumenta la sicurezza, e la paura di questo è il motivo per cui molti evitano la 2FA. Pianificala:
- Salva i codici di backup che ti vengono proposti quando attivi la 2FA. Stampali o conservali nel gestore di password, non in una nota sullo stesso telefono che genera i codici.
- Registra due fattori dove è possibile, per esempio un'app di autenticazione più una chiave fisica.
- Fai il backup dell'app di autenticazione se lo supporta, oppure configurala su un secondo dispositivo nello stesso momento.
- Tieni una copia su carta della password principale e dei codici di recupero in un luogo fisicamente sicuro. La carta non è esposta a internet.
- Valuta un contatto fidato: alcune piattaforme permettono di designare una persona che ti aiuti a recuperare l'accesso.
Un piano da un pomeriggio
- Installa un gestore di password e imposta una password principale robusta.
- Cambia la password dell'email con una generata e attiva la 2FA più forte disponibile. Salva i codici di backup.
- Fai lo stesso per l'home banking e per ogni account che contenga una carta.
- Esegui il rapporto su violazioni e riutilizzo del gestore; correggi ogni password riutilizzata su account che contengano denaro, identità o messaggi.
- Controlla il tuo indirizzo email su un servizio affidabile di notifica delle violazioni e cambia tutto ciò che segnala.
- Rivedi dispositivi e sessioni attive sugli account principali; disconnetti ciò che non riconosci.
- Aggiorna i sistemi operativi di telefono e computer e attiva gli aggiornamenti automatici.
- Metti un promemoria tra sei mesi per ripetere i punti da quattro a sei.
Nulla di tutto questo ti rende invulnerabile, e non sostituisce le abitudini descritte nelle altre guide: la maggior parte delle perdite avviene perché qualcuno è stato convinto ad agire, non perché la cifratura ha ceduto. Ma elimina del tutto gli attacchi silenziosi e automatici, il che ti lascia libero di concentrarti su quelli che ti parlano.