Password e account: la porta di servizio del recupero

Quando si parla di password si pensa a indovinelli: lettere maiuscole, numeri, simboli, la data di nascita del cane. Chi attacca un account non fa nulla di tutto questo. Usa credenziali già rubate altrove, o va dritto dove la sicurezza è più debole: il modo in cui riesci a rientrare quando hai perso l’accesso.

Che cosa dicono le regole di oggi

La versione 2025 delle linee guida del NIST (SP 800-63B-4), che negli Stati Uniti definiscono lo standard per l’autenticazione, ha cambiato molti vecchi consigli. In sintesi:

• Lunghezza minima: 15 caratteri se la password è l’unico fattore di accesso, 8 se viene usata insieme a un secondo fattore. I servizi dovrebbero accettare almeno 64 caratteri.
• Niente regole di composizione. I servizi non devono imporre mix obbligatori di maiuscole, numeri e simboli.
• Niente cambio periodico. La password si cambia quando c’è evidenza di compromissione, non ogni tre mesi.
• Controllo contro elenchi di password note: il servizio deve rifiutare password comuni, attese o già comparse in violazioni di dati.
• Gestori di password ammessi. I servizi devono consentire i gestori e il riempimento automatico e dovrebbero consentire di incollare.
• Niente domande di sicurezza. Il «nome da nubile di tua madre» non può essere usato come metodo di accesso: le risposte si trovano online.

Il messaggio di fondo è che una password lunga, unica e casuale batte una corta e ingegnosa, e che costringere le persone a cambiarla di continuo produce solo varianti prevedibili.

Il rischio vero: lo stesso segreto in cento posti

Ogni volta che un sito viene violato, le credenziali finiscono in elenchi che circolano. Il sito Have I Been Pwned, che raccoglie le violazioni pubblicamente note e permette di verificare se il proprio indirizzo compare, segna al 12 novembre 2026 1.051 siti violati e quasi 17,9 miliardi di account compromessi.

Chi attacca non ha bisogno di scoprire la tua password: prova la stessa coppia di credenziali su banche, posta, social, servizi di acquisto. Se l’hai usata in più posti, basta che uno sia stato violato. Nel rapporto 2026 di Verizon l’abuso di credenziali è il punto d’ingresso iniziale nel 13% delle violazioni. Non è la quota maggiore, ma è un attacco che costa quasi nulla e si ripete.

Contromisura: una password diversa per ogni servizio. Nessuno la ricorda: per questo esistono i gestori.

Il gestore di password

Un gestore genera password lunghe e casuali, le conserva cifrate e le inserisce al posto tuo. Ha un vantaggio spesso trascurato: di norma compila solo sul sito per cui la password è stata salvata, quindi su una pagina di phishing non si riempie. Per questo è anche una difesa contro l’inganno, non solo una comodità.

Il rovescio è che concentra molto in un punto. Per questo:

• usa come password principale una frase lunga e unica, di quattro o cinque parole non collegate tra loro, che non hai usato altrove;
• attiva sul gestore la protezione più forte che offre, preferibilmente una passkey o una chiave di sicurezza;
• stampa il «kit di emergenza» o il codice di recupero e conservalo offline, in un posto fisico sicuro;
• non affidargli le chiavi di un portafoglio di criptovalute: per quelle vale la regola della guida sulle cripto.

Il salvataggio delle password nel browser è meglio del riutilizzo ma lega la sicurezza a quella dell’account e del dispositivo: se il computer viene usato da altri o l’account del browser è debole, le password sono esposte con lui.

La porta di servizio: recupero dell’account

Quasi tutti i servizi permettono di rientrare se hai dimenticato la password. Lo fanno con una casella di posta alternativa, un numero di telefono, una domanda di sicurezza o un codice monouso. Per chi attacca, quella è la strada più comoda: invece di violare la password, controlla il modo per riprendere l’account.

Il ragionamento è una catena. L’account che conta di più, di solito la posta, si recupera con un’altra casella o con un numero di telefono. Quella casella si recupera con un altro indirizzo, e il numero di telefono dipende dall’operatore. Un anello debole ovunque basta per rompere tutta la catena.

Come si chiude:

1. Disegna la tua catena. Per posta principale e account del telefono, scrivi quali caselle e quali numeri servono per il recupero.
2. Usa per il recupero una casella dedicata, recente e protetta con una passkey, non un indirizzo di un vecchio fornitore, di un lavoro lasciato o di un servizio che non apri più.
3. Elimina i recuperi che non controlli più. Un vecchio numero o una vecchia casella sono una porta aperta.
4. Conserva i codici di recupero monouso che molti servizi offrono, stampati e offline.
5. Chiedi al tuo operatore telefonico di proteggere la SIM, per esempio con un codice o una parola d’ordine richiesta per ogni modifica. Dipende da operatore e contratto: chiedi quali strumenti offre.
6. Non usare le domande di sicurezza con risposte vere. Se un servizio le impone, inventa risposte casuali e salvale nel gestore.

Gli account da proteggere per primi

L’ordine conta, perché alcuni account aprono la porta agli altri:

1. La posta principale. Tutti i recuperi arrivano lì.
2. L’account del telefono (Apple o Google): contiene password, passkey, foto, backup dei messaggi.
3. Il gestore di password.
4. L’account presso l’operatore telefonico, per il rischio di trasferimento della SIM.
5. Banca e pagamenti.
6. Il registrar del dominio, se hai un sito o la posta aziendale. Chi entra nell’account del registrar può cambiare i server dei nomi, ricevere la tua posta e rubare il sito. Proteggilo con una passkey o una chiave hardware, attiva il blocco del trasferimento e, dove il registrar lo offre, il blocco a livello di registro. Controlla quale indirizzo è impostato per il recupero.

Per le aziende

• Mai password condivise per account nominativi. Per gli account che devono essere condivisi, un gestore con registrazione degli accessi.
• Account amministrativi separati da quelli quotidiani, con autenticazione resistente al phishing, come spiegato nella guida sul furto di sessione.
• Uscita delle persone: una procedura che revoca accessi, sessioni e condivisioni il giorno stesso in cui qualcuno lascia l’azienda. È una delle misure in elenco nella guida sulle dodici misure.
• Separare personale e lavoro. Chi riutilizza la password di un servizio personale violato per il lavoro porta il rischio in azienda.
• Fornitori e consulenti: account propri, limitati e con scadenza.

Domande frequenti

Fonti

• NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (2025)
• Have I Been Pwned, statistiche (consultate il 12 novembre 2026)
• CISA, Implementing Phishing-Resistant MFA (ottobre 2022)
• SecurityWeek, Verizon DBIR 2026: vulnerability exploitation overtakes credential theft as top breach vector
• FIDO Alliance, Passkeys
• Racconti di chi lavora o ha lavorato in questi ambienti: testimonianze, riportate come tali.