AGGIORNAMENTO: Questo articolo, originariamente pubblicato su 6 maggio 2021, è stato aggiornato per fornire una panoramica più approfondita sulla Giornata mondiale della password. Sebbene gli aspetti fondamentali della giornata rimangano invariati, questo aggiornamento include approfondimenti aggiuntivi e spiegazioni dettagliate per migliorare la vostra comprensione delle tecnologie più recenti e delle migliori pratiche volte a garantire un elevato livello di sicurezza delle password nell’attuale panorama digitale.
Oggi è la Giornata mondiale della password, che si celebra ogni anno il primo giovedì di maggio. Questa ricorrenza incoraggia i singoli individui e le organizzazioni a migliorare in modo proattivo la sicurezza delle proprie password, creando password complesse, adottando abitudini più sicure e tenendosi informati sulle migliori pratiche in materia di sicurezza informatica.
In occasione della Giornata mondiale delle password, è fondamentale riflettere sul panorama in continua evoluzione della sicurezza informatica e sul ruolo che le buone pratiche relative alle password svolgono nella tutela delle nostre identità online e dei nostri account personali dalle minacce informatiche.
Unitevi a noi per celebrare la Giornata mondiale della password, approfondendo il significato di questa ricorrenza e discutendo delle ultime novità in materia di sicurezza delle password, tra cui un’analisi delle password più comunemente utilizzate, l’importanza di password complesse, gli elementi necessari per creare una buona password e le migliori pratiche che potete iniziare ad adottare fin da oggi.
Adottando misure proattive per rafforzare le password e migliorare il vostro livello complessivo di sicurezza informatica, possiamo costruire insieme un ambiente digitale più sicuro per tutti.
Continuiamo a considerare la sicurezza informatica una priorità per proteggere ciò che conta di più.
Chi ha istituito la Giornata mondiale della password?
Istituita nel 2013 dall’ Intel (Associazione per la sicurezza informatica), la Giornata mondiale della password è un promemoria annuale sull’importanza di proteggere la chiave di accesso alle nostre identità digitali. Sin dalla sua istituzione, questa giornata ha assunto una vita propria, con migliaia di persone, organizzazioni come la National Cyber Security Awareness Alliance e importanti aziende tecnologiche quali Google (si apre in una nuova scheda) (che è anche uno dei sostenitori fondatori dell’ , della FIDO Alliance (si apre in una nuova scheda)) che condividono consigli su come creare password sicure e migliorare le pratiche di sicurezza informatica.
L'evoluzione della Giornata mondiale della password riflette il crescente riconoscimento della necessità di misure di sicurezza informatica efficaci. Inizialmente incentrato sulla promozione di password sicure, questa giornata sottolinea ora anche l’importanza dell’autenticazione a più fattori (MFA) (si apre in una nuova scheda) e di tenersi informati sulle migliori pratiche in materia di sicurezza informatica. Questo cambiamento sottolinea gli sforzi costanti volti ad adattarsi al panorama in continua evoluzione delle minacce informatiche e la necessità di un miglioramento continuo delle pratiche di sicurezza digitale.
È evidente che la necessità di password sicure e uniche non è mai stata così fondamentale. Tuttavia, molte persone continuano a utilizzare password deboli e facilmente intuibili, rendendo i propri account vulnerabili alle minacce informatiche.
Analizziamo le password più comuni e cerchiamo di capire perché tali scelte comportano rischi significativi per la nostra sicurezza digitale.
Qual è la password più diffusa?
Nonostante i progressi tecnologici, le password deboli continuano a rappresentare una vulnerabilità significativa. Le password comuni come "Password1" o quelle che utilizzano informazioni personali facilmente intuibili, quali date di nascita, nomi di animali domestici, nomi dei figli o squadre sportive preferite, possono essere facilmente indovinate dagli hacker, che spesso monitorano gli account sui social media per raccogliere tali informazioni.
Inoltre, molte password utilizzate di frequente continuano ad essere incredibilmente semplici. Secondo il rapporto “ : 2025 Specops Breached Password Report” (si apre in una nuova scheda), le password più rubate nel 2024 includono 123456, admin e password. Il rapporto sottolinea inoltre che molti utenti tendono a utilizzare termini di base semplici come "admin" o "welcome", che possono essere facilmente sfruttati tramite attacchi a dizionario.
Comprendendo i rischi associati alle password comuni e adottando misure proattive per rafforzare le prassi e le politiche relative alle password, sia i singoli individui che le organizzazioni possono ridurre in modo significativo la probabilità di accessi non autorizzati e migliorare il proprio livello complessivo di sicurezza informatica.
Nella prossima sezione approfondiremo l’importanza di utilizzare password complesse e uniche e vedremo come queste possano migliorare in modo significativo il vostro livello di sicurezza informatica.
Perché è importante utilizzare una password sicura?
In un’epoca in cui le minacce informatiche sono sempre più sofisticate, una singola password compromessa può portare a conseguenze devastanti, tra cui il furto d’identità, perdite finanziarie e l’accesso non autorizzato a dati sensibili.
Nonostante i ben noti rischi associati alle password deboli, molte persone continuano a utilizzarle o addirittura a riutilizzare la stessa password su più account. Questa pratica aumenta notevolmente la loro vulnerabilità nei confronti dei criminali informatici.
Si consideri questo esempio: “solarwinds123” — questa è la password che un dipendente ha creato per accedere a un server protetto presso SolarWinds, azienda produttrice di software per la gestione delle reti.
Il resto è noto a tutti: gli hacker hanno fatto irruzione (si apre in una nuova scheda) e hanno sferrato uno dei peggiori attacchi informatici nella storia degli Stati Uniti, infettando 300 aziende e nove agenzie federali, con costi di ripristino che hanno raggiunto 100 miliardi di dollari (si apre in una nuova scheda) .
«Gli hacker non si introducono di nascosto, ma effettuano l’accesso.»IBM Indice di intelligence sulle minacce X-Force 2025
Secondo l’ IBM, l’X-Force 2025 Threat Intelligence Index (si apre in una nuova scheda), si è registrato inoltre un aumento del 84% degli infostealer diffusi tramite e-mail di phishing ogni settimana. I criminali informatici, che sfruttano l’intelligenza artificiale per ampliare la portata e rendere più efficaci questi attacchi di phishing, hanno reso possibile questa diffusione del malware di tipo “infostealer”, con la conseguenza che milioni di credenziali rubate sono ora disponibili sul dark web.
Ora che abbiamo chiarito perché l’uso di password sicure sia fondamentale per proteggere la vostra identità digitale e le informazioni sensibili, vi starete forse chiedendo: cosa rende esattamente una password valida e sicura? E come potete crearne una che protegga efficacemente i vostri account?
Esploriamo le caratteristiche fondamentali di una buona password, con consigli pratici per aiutarvi a creare password che siano al tempo stesso sicure e facili da gestire.
Quali sono le caratteristiche di una buona password?
Tradizionalmente, si ritiene che l’aggiunta di caratteri alfanumerici, quali numeri e simboli come #, @ e &, sia sufficiente per aumentare la sicurezza delle password; alcune applicazioni lo richiedono addirittura.
Tuttavia, ciò di cui molte persone non si rendono conto è che anche le password che soddisfano i requisiti di complessità possono comunque risultare vulnerabili se figurano in un elenco noto di password compromesse.
Ad esempio, una password come "P@ssw0rd!" può sembrare sicura, ma se è stata compromessa a seguito di una violazione dei dati, diventa rischiosa quanto una semplice password. Inoltre, l’inserimento di questi caratteri può effettivamente comportare una complessità superflua.
È sempre consigliabile ipotizzare lo scenario peggiore e consultare i siti , Have I Been Pwned (si apre in una nuova scheda),e per consultare un elenco delle violazioni dei dati aziendali e degli indirizzi e-mail compromessi.
Allora, perché l’utilizzo di una password complessa non è più l’elemento principale per garantire la sicurezza?
L’Istituto Nazionale di Standard e Tecnologia (NIST) ha recentemente presentato una serie di linee guida rivoluzionarie in materia di sicurezza delle password, segnando un allontanamento dalle prassi tradizionali. Queste nuove raccomandazioni, illustrate in dettaglio nel documento “ ” ( NIST), nella Pubblicazione speciale n. 800-63B ( ) (si apre in una nuova scheda) e nel documento “” (), sono state concepite per rafforzare la sicurezza informatica migliorando al contempo l’esperienza dell’utente.
Uno degli aggiornamenti più significativi nell’approccio di NIST'è l’enfasi posta sulla lunghezza delle password piuttosto che sulla loro complessità. Allontanandosi dalla convinzione comune secondo cui sia necessario combinare lettere maiuscole e minuscole, numeri e caratteri speciali, NIST attribuisce ora maggiore importanza alla lunghezza delle password come fattore chiave per la loro sicurezza. (Tuttavia, la complessità può comunque svolgere un ruolo nella prevenzione di minacce quali gli attacchi di forza bruta di tipo “ ” (si apre in una nuova scheda).)
"Le password più lunghe sono generalmente più sicure e più facili da ricordare per gli utenti. Stiamo abbandonando le regole complesse, che spesso portano a schemi prevedibili, per incoraggiare invece l’uso di passphrase uniche e lunghe.1”Il dott. Paul Turner, esperto di sicurezza informatica presso NIST
NIST ora raccomanda una lunghezza minima della password di 8 caratteri, con una forte preferenza per password ancora più lunghe. Si invitano le organizzazioni a consentire l'uso di password lunghe almeno 64 caratteri, in modo da consentire l'utilizzo di frasi di accesso.
In un altro importante aggiornamento, NIST ha eliminato l’obbligo di cambiare periodicamente la password. L'istituto sostiene che i frequenti reimpostamenti comportano spesso password più deboli e modifiche prevedibili, rafforzando così le cattive abitudini in materia di password. Al contrario, le password dovrebbero essere modificate solo quando vi siano prove di una violazione della sicurezza.
"Obbligare gli utenti a cambiare regolarmente le password non migliora la sicurezza e può addirittura rivelarsi controproducente", ha spiegato Turner. "È più efficace monitorare le credenziali compromesse e richiedere la loro modifica solo quando necessario."
Le nuove linee guida sottolineano inoltre l’importanza di verificare le password confrontandole con elenchi di password comunemente utilizzate o compromesse. NIST consiglia alle organizzazioni di mantenere un elenco aggiornato delle password vulnerabili e di impedire agli utenti di scegliere qualsiasi password presente in tale elenco.
Inoltre, NIST sconsiglia l’uso di suggerimenti per le password o di domande di autenticazione basate sulle conoscenze, poiché queste possono spesso essere facilmente indovinate o scoperte tramite tecniche di ingegneria sociale e phishing.
Queste linee guida all’avanguardia, elaborate dall’ NIST , sono destinate a ridefinire il concetto stesso di creazione di password efficaci, in linea con le più recenti innovazioni volte a rendere la sicurezza delle password più solida e di facile utilizzo.
I modi migliori per migliorare la sicurezza delle password
Tuttavia, non è solo il modo in cui viene creata una password a renderla più sicura; anche l’adozione di buone pratiche di sicurezza contribuisce a migliorarne la sicurezza, tra cui:
Cambiate le password meno spesso, non più spesso
Le organizzazioni spesso invitano i dipendenti a modificare le proprie password di accesso alla rete ogni 30 -45 giorni. Tuttavia, tale approccio può risultare problematico in quanto potrebbe portare a schemi prevedibili nella modifica delle password. Ad esempio, gli utenti potrebbero semplicemente modificare la propria password da 2024Yankees a 2025Yankees, il che non migliora in modo significativo la sicurezza. Gli hacker possono facilmente individuare tali dettagli (monitorando i Suoi account online e sfruttando la Sua appartenenza a una squadra) fino a quando non trovano la combinazione giusta.
È preferibile creare una password sicura e utilizzarla con costanza piuttosto che apportare piccole modifiche a una password debole. Esiste tuttavia un'eccezione: le password degli amministratori di sistema che gestiscono i server o altri utenti con account dotati di privilegi elevati dovrebbero essere modificate all'incirca una volta al mese.
Perché? I ruoli utente, come quelli degli amministratori di sistema, dispongono spesso di privilegi elevati e di accesso a infrastrutture critiche, il che rende i loro account obiettivi primari per gli attacchi informatici. Cambiare regolarmente tali password contribuisce a ridurre il rischio di accessi non autorizzati e di potenziali violazioni.
Infatti, all’indirizzo Microsoft viene descritto (si apre in una nuova scheda) come parte del proprio approccio di “difesa a più livelli” alla sicurezza informatica includa linee guida relative all’uso delle password, al fine di garantire che gli account con privilegi non solo utilizzino password altamente sicure, ma che queste vengano modificate regolarmente per ridurre il rischio di furto delle credenziali.
L'utilizzo di un gestore di password è ancora considerato una buona pratica?
Chris Hallenbeck (si apre in una nuova scheda), CISO presso Tanium, avverte che, sebbene i gestori di password siano strumenti utili in quanto in grado di generare una password crittografata per ogni applicazione, anche essi richiedono una password principale sicura.
Adottino un approccio a più livelli nelle misure di sicurezza
I modelli di sicurezza tradizionali si basano su un perimetro protetto, considerando affidabili gli utenti e i dispositivi all’interno della rete. Tuttavia, tale approccio presenta dei limiti, soprattutto alla luce dell’evoluzione delle min he e della diffusione del lavoro da remoto (si apre in una nuova scheda) e del cloud computing.
Per colmare queste lacune di sicurezza, le organizzazioni stanno adottando l’approccio basato sull’accesso con privilegi minimi e un’architettura Zero-Trust (si apre in una nuova scheda) , al fine di garantire un approccio alla sicurezza più solido e adattivo, assicurando che l’accesso alle risorse sia continuamente verificato e rigorosamente controllato.
Il concetto di “privilegio minimo” è semplice: i dipendenti dovrebbero avere accesso solo alle applicazioni e ai database di cui hanno bisogno per svolgere il proprio lavoro. Ad esempio, con il passaggio delle organizzazioni al cloud, si è verificata la tendenza a concedere a molti amministratori di sistema l’accesso a tutti i database presenti nel cloud. È preferibile suddividere gli incarichi in base ai database di cui hanno bisogno gli amministratori di sistema. In questo modo, qualora un database cloud venisse compromesso, un malintenzionato non avrebbe accesso a tutti i sistemi dell’azienda.
Il modello Zero Trust si basa sul principio “non fidarsi mai, verificare sempre”, che richiede un’autenticazione e un’autorizzazione continue per ogni richiesta di accesso. Si parte dal presupposto che le minacce possano provenire da qualsiasi fonte e si pone l’accento su controlli rigorosi degli accessi e su un monitoraggio continuo.
Inoltre, la combinazione dei principi di “Zero Trust” e del “privilegio minimo” con politiche rigorose in materia di password e l’autenticazione a più fattori è fondamentale per creare una strategia di difesa a più livelli. L'autenticazione a più fattori (MFA) migliora la sicurezza abbinando gli accessi tradizionali tramite password ad app di autenticazione di terze parti a cui gli utenti accedono tramite i propri smartphone. Sebbene alcuni possano obiettare che questo processo articolato in più fasi non sia proprio “senza intoppi”, esso è ormai diventato una pratica comune sia per i consumatori che per i lavoratori. App di autenticazione molto diffuse come Cisco Duo, Google Authenticator e Authy sono ormai note a tutti, rendendo la procedura familiare e intuitiva.
Integrando i principi dello “zero trust”, del “privilegio minimo” e dell’autenticazione a più fattori (MFA), le organizzazioni possono creare un quadro di sicurezza completo:
- L'approccio Zero Trust garantisce una verifica continua
- Il principio del privilegio minimo garantisce un accesso ridotto al minimo
- L'autenticazione MFA offre ulteriori livelli di protezione
Nel loro insieme, questi approcci aiutano le organizzazioni a ridurre in modo proattivo i rischi informatici, a proteggere i dati sensibili e a garantire la conformità ai requisiti normativi.
Ripensare la password tradizionale
La buona notizia è che il panorama dell’autenticazione sta evolvendo ulteriormente nel tentativo di stare al passo con le minacce in continua evoluzione. Ecco l’autenticazione senza password, un metodo che elimina del tutto la necessità delle password tradizionali. Anziché digitare e autenticare le password, gli utenti possono avvalersi delle “passkey” — chiavi digitali univoche memorizzate sui propri dispositivi — oppure di metodi biometrichi “ ”, quali la scansione delle impronte digitali e il riconoscimento facciale (si apre in una nuova scheda). Queste tecniche avanzate non solo migliorano la sicurezza, ma ottimizzano anche l’esperienza dell’utente, rendendola al tempo stesso sicura e comoda.
La biometria e le chiavi di accesso sono davvero più sicure delle password?
La biometria e le chiavi di accesso sono infatti considerate più sicure delle password tradizionali.
biometriche, quali le impronte digitali e il riconoscimento facciale, costituiscono una forma di autenticazione unica e difficile da replicare.
Le passkey, che utilizzano chiavi crittografiche memorizzate sui dispositivi, offrono una protezione efficace contro gli attacchi di phishing e di "credential stuffing". Questi metodi eliminano la necessità di ricordare password complesse e riducono il rischio di riutilizzo delle stesse.
Tuttavia, tali metodi presentano alcune difficoltà e inducono alcuni esperti di autenticazione a chiedersi se siano davvero sicuri (si apre in una nuova scheda).
La sicurezza biometrica può essere compromessa in caso di furto dei dati biometrici. Inoltre, gli autori degli attacchi possono avvalersi di deepfake generati dall’intelligenza artificiale, impronte digitali sintetiche e clonazione vocale per ingannare i sistemi di autenticazione biometrica.
Sebbene le passkey rappresentino una valida alternativa alle password tradizionali, richiedono un’adozione su larga scala e la compatibilità tra dispositivi e piattaforme. Anche le passkey non sono del tutto immuni agli attacchi. Una potenziale vulnerabilità è rappresentata dall'uso del phishing per indurre gli utenti a rivelare la propria chiave di accesso. Inoltre, qualora un malintenzionato riuscisse ad accedere a un dispositivo in cui è memorizzata la passkey, potrebbe compromettere il dispositivo stesso e utilizzarlo per autenticarsi.
Sebbene tali sfide sussistano, i vantaggi sono significativi: la biometria e le chiavi di accesso offrono un’esperienza di autenticazione fluida e sicura, riducendo la dipendenza dall’uso esclusivo delle password tradizionali e migliorando così la sicurezza informatica complessiva.
[Leggi anche: Il futuro è senza password] (si apre in una nuova scheda)
Questo passaggio all’autenticazione senza password rappresenta un’evoluzione significativa nelle abitudini relative all’uso delle password e sottolinea l’importanza di adottare nuove misure di sicurezza per proteggere le informazioni sensibili in un mondo sempre più interconnesso.
Formare e responsabilizzare gli utenti
Uno dei modi più efficaci per migliorare la sicurezza delle password consiste nel sensibilizzare e responsabilizzare regolarmente gli utenti riguardo alla loro importanza. Fornire formazione continua e risorse è fondamentale per mantenere elevati standard di sicurezza delle password. Workshop periodici, webinar e sessioni di formazione interattive consentono di tenere gli utenti aggiornati sulle più recenti best practice e sulle minacce emergenti.
Tuttavia, tale formazione non deve limitarsi a indicare loro di creare password sicure; deve mirare a promuovere una comprensione approfondita del motivo per cui tali pratiche sono fondamentali e di come possano proteggere sia i dati personali che quelli aziendali. Quando gli utenti comprendono i rischi associati alle password poco sicure, i dipendenti sono più propensi ad adottare misure proattive per proteggere i propri account. Inoltre, l’introduzione di notifiche e promemoria discreti relativi alle buone pratiche di gestione delle password può rafforzare le buone abitudini e ridurre il rischio di violazioni della sicurezza.
Investendo nella formazione e nella responsabilizzazione degli utenti (si apre in una nuova scheda), si crea un ambiente attento alla sicurezza in cui tutti contribuiscono alla protezione delle informazioni sensibili. Questo approccio proattivo non solo migliora la sicurezza delle password, ma contribuisce anche a creare una difesa solida contro il panorama in continua evoluzione delle minacce informatiche.
In occasione della Giornata mondiale delle password, è il momento ideale per rafforzare la vostra sicurezza informatica. Tanium offre soluzioni complete che migliorano la sicurezza delle password e la sicurezza informatica complessiva, garantendo piena visibilità e controllo sui vostri endpoint e assicurando che i dispositivi presenti nel vostro ambiente siano sicuri e conformi alle normative.
Tanium aiuta a identificare e correggere le vulnerabilità, comprese quelle relative alla sicurezza delle password, e supporta l’implementazione e la configurazione di misure di sicurezza, tra cui l’autenticazione a più fattori, nell’intero ambiente. Ciò consente un'applicazione coerente delle politiche e il rilevamento in tempo reale delle credenziali compromesse, rafforzando ulteriormente la vostra difesa contro le minacce.
Grazie a Tanium Autonomous Endpoint Management (si apre in una nuova scheda), i nostri progressi nelle funzionalità di automazione ottimizzano aree cruciali quali la gestione delle patch e i flussi di lavoro relativi alla sicurezza, riducendo il tempo e lo sforzo necessari per gestire e proteggere le password in modo proattivo. In caso di incidenti, è possibile mettere rapidamente in quarantena i dispositivi sospetti o infetti, accelerando i tempi di risposta e migliorando la vostra capacità di proteggere le informazioni sensibili.
Non attendete che si verifichi una violazione per agire. Scoprite in che modo l’approccio proattivo di Tanium'alla gestione e alla sicurezza dell’ endpoint e contribuisca a mitigare i rischi associati a password deboli o compromesse, creando un ambiente IT più resiliente in grado di salvaguardare le vostre risorse digitali. Prenoti oggi stesso una demo personalizzata (si apre in una nuova scheda).
