Hai dozzine di account. Forse centinaia. Controllarli tutti richiede un carico mentale che la maggior parte delle persone non è disposta a sopportare. Il risultato? Ritorni sul percorso di minor resistenza. Scegli una password facile da ricordare. Riutilizza la stessa stringa su cinque siti diversi. Sembra conveniente.
È anche un incubo per la sicurezza.
La società di sicurezza informatica NordPass monitora questo comportamento ogni anno. I loro dati del 2024, ricavati da violazioni in 44 paesi, evidenziano quanto sia diventata grave l’abitudine. L’elenco delle password più comuni è un cimitero di sicurezza digitale. Ecco come appaiono i principali autori di reato e perché è necessario smettere immediatamente di usarli.
Le 25 password più comuni del 2024
Queste non sono solo ipotesi casuali. Rappresentano le pigre impostazioni predefinite di milioni di utenti. NordPass ha trovato queste stringhe nelle violazioni dei dati, registrate con la loro frequenza di utilizzo.
- 123456 : 1,2 milioni di occorrenze
- 123456789 : 693.000 occorrenze
- 12345678 : 365.000 occorrenze
- segreto : 339.000 occorrenze
- password : 196.000 occorrenze
- qwerty123 : 144.000 occorrenze
- qwerty1 : 138.000 occorrenze
- 111111 : 106.000 occorrenze
- 123123 : 102.000 occorrenze
- 1234567890 : 93.000 occorrenze
- qwerty : 92.000 occorrenze
- 1234567 : 86.000 occorrenze
- 11111111 : 80.000 occorrenze
- abc123 : 58.000 occorrenze
- ti amo : 54.000 occorrenze
- 123123123 : 51.000 occorrenze
- 000000 : 46.000 occorrenze
- 00000000 : 45.000 occorrenze
- a123456 : 42.000 occorrenze
- password1 : 41.000 occorrenze
- 654321 : 41.000 occorrenze
- qwer4321 : 36.000 occorrenze
- 1q2w3e4r5t : 35.000 occorrenze
- 123456a : 35.000 occorrenze
- q1w2e3r4t5y6 : 34.000 occorrenze
Guarda i primi cinque. Numeri semplici. La parola “password” stessa. Sembra assurdo, ma contro la vigilanza la convenienza vince sempre.
Perché i pattern di tastiera sono un disastro
Scorri l’elenco ed emerge uno schema. Non è casuale. La maggior parte di queste stringhe segue il layout fisico della tastiera. Tasti QWERTY. Numeri sequenziali.
Questo è un catastrofico fallimento della sicurezza.
Gli hacker non hanno bisogno dell’intelligenza artificiale avanzata per violarli. Usano script automatizzati. Questi script eseguono attacchi di forza bruta utilizzando gli elenchi di password più comuni. Testano queste stringhe rispetto al tuo account in pochi secondi. Se utilizzi qwerty123 o 123456, è probabile che il tuo account venga compromesso prima ancora che l’attacco venga registrato come avviso.
Anche i “nomi comuni” come “segreto” o “ti amo” sono deboli. Sono le prime parole provate in qualsiasi attacco al dizionario. Non offrono alcuna reale barriera agli strumenti automatizzati.
La trappola dei dati personali
Oltre al mashing della tastiera, esiste un’altra categoria di vulnerabilità. Si tratta di informazioni personali.
L’analisi delle tendenze mostra che le persone usano nomi di animali (scimmia, drago, unicorno). Usano lo sport (baseball, calcio, calcio). Usano i propri nomi, come “ashley” o “michael”, spesso tutti in minuscolo.
Peggio ancora, le persone incorporano dati identificativi nelle proprie credenziali. Parti del loro nome. La città in cui sono nati. Il loro anno di nascita.
Perché è pericoloso? Perché questi dati sono pubblici. È sui social. È nelle vecchie violazioni dei dati. I truffatori possono ricostruirlo in pochi minuti. Qualcuno che conosci può indovinarlo se ha la minima idea della tua vita.
Approfondimento chiave : qualsiasi password contenente identificatori personali o frasi comuni è debole. Può essere oggetto di phishing o indovinato dai conoscenti.
Come costruire una difesa più forte
La lezione che si ricava dai dati del 2024 è chiara. I metodi utilizzati dalle persone per creare password complesse le stanno rendendo più deboli.
Evitare stringhe in ordine numerico o alfabetico. Evita le camminate sulla tastiera. Evita i nomi comuni. E, soprattutto, evitare qualsiasi informazione personale.
Una password complessa non assomiglia per niente all’elenco dei primi 25. Dovrebbe essere casuale. Dovrebbe essere lungo. Non dovrebbe esistere in nessun dizionario.
Approfondimento chiave : smetti di aggiungere “1” o “!” ad una parola debole. Non aiuta. Esso
La maggior parte delle persone considera la propria vita digitale come una casa aperta. Lasciano le porte aperte e le luci accese. Se vuoi proteggere davvero i tuoi dati, devi smettere di pensare come un utente e iniziare a pensare come un bersaglio. La buona notizia è che gli strumenti sono gratuiti. La cattiva notizia è che la maggior parte delle persone li ignora finché non è troppo tardi.
1. Smetti di fidarti del tuo cervello con le password
L’errore più grande che le persone commettono è cercare di essere intelligenti con le proprie password. Conosci la procedura. “Password123” è pigro. “Estate 2024!” è prevedibile. Anche se si scambia l’anno o si aggiunge un simbolo, si tratta pur sempre di uno schema. Un cervello umano è pessimo per quanto riguarda la casualità. Ha bisogno di struttura. Gli hacker amano la struttura perché è facile da violare.
L’unica password veramente sicura è quella che non conosci.
I browser Web come Chrome possono generare queste stringhe per te. Creano mix lunghi e caotici di lettere maiuscole, minuscole, numeri e punteggiatura. Un attacco di forza bruta, in cui il software tenta tutte le combinazioni possibili, diventa matematicamente impossibile con una lunghezza e una complessità sufficienti.
Il problema? Non puoi ricordarlo.
Quindi lo scrivi. Oppure lo salvi. Questo porta al punto successivo.
2. Perché l’autenticazione a due fattori non è negoziabile
L’autenticazione a due fattori (2FA) aggiunge un secondo livello di verifica. Non è solo “bello da avere”. È la differenza tra una serratura rotta e una porta aperta.
Ecco come funziona. Anche se un hacker ruba la tua password attraverso una violazione dei dati o una truffa di phishing, non può accedere senza il secondo fattore. Potrebbe trattarsi di un messaggio di testo sul tuo telefono, un codice email o un token sensibile al tempo da un’app come Google Authenticator.
Il calcolo è semplice. Per entrare, hanno bisogno sia della tua password che del tuo dispositivo fisico. Se ne hanno uno ma non l’altro, vengono bloccati.
“L’autenticazione a due fattori aumenta esponenzialmente il fattore di sicurezza perché anche se un hacker avesse rubato quella password, non sarebbe in grado di accedere a meno che non avesse compromesso anche quel secondo account di posta elettronica o ottenuto l’accesso fisico al tuo smartphone.”
Sì, aggiunge alcuni secondi al processo di accesso. Toccherai un pulsante aggiuntivo. Controllerai il tuo telefono. Fallo. Il tempo risparmiato per evitare il furto di identità è infinito.
3. La trappola del credential stuffing
Usare la stessa password per ogni account è il modo più veloce per perdere tutto.
Immagina di utilizzare “MyDogIsMax1” per la tua posta elettronica, la tua banca e il tuo sito di acquisti. Uno di questi siti viene violato. Gli aggressori scaricano il database nel dark web. A loro non interessa la tua email. Si preoccupano dei tuoi soldi.
Usano una sceneggiatura. Questo script prende quella password e la prova su centinaia di altri siti importanti. Questo si chiama riempimento delle credenziali. Per loro è uno sforzo minimo e una ricompensa elevata.
Se utilizzi una password univoca per ogni singolo account, la percentuale di successo di questo attacco scende a zero. Una violazione compromette un solo account. Il resto resta al sicuro. È così semplice.
4. Il dilemma del gestore delle password
Hai bisogno di password complesse e uniche. Non puoi ricordarli. Hai bisogno di uno strumento.
Inserisci il gestore delle password. Queste applicazioni archiviano le tue credenziali in un deposito crittografato. Devi solo ricordare una password principale. Il software fa il resto. La maggior parte dei browser moderni lo hanno integrato. È conveniente. Si sincronizza su tutti i dispositivi.
Ma c’è un rischio.
Se utilizzi un gestore di password basato su cloud, il tuo deposito si trova su un server. Se quel server viene violato, le tue chiavi vengono esposte. Se perdi la password principale, sarai bloccato per sempre, a meno che tu non disponga di un piano di ripristino.
Per la massima sicurezza, cerca soluzioni offline. Alcuni gestori di password memorizzano i dati solo sul tuo computer locale. Nessuna sincronizzazione cloud. Nessun server remoto. Esistono persino dispositivi hardware che assomigliano a unità USB o calcolatrici. Non hanno connessione internet. Sono progettati con traferri.
“I gestori più sicuri salvano le password solo sul computer locale e non su nessun server.”
Se segui il percorso offline, devi ricordare la tua password principale. Scrivilo su carta. Nascondilo in una cassaforte. Non metterlo vicino al computer. Non salvarlo in un file di testo sul desktop. La sicurezza fisica è importante quando la sicurezza digitale è locale.
Antiche radici di segreti moderni
Non siamo i primi a preoccuparci di spie e segreti. La crittografia non è un’invenzione moderna. Risale a migliaia di anni fa.
Il primo esempio conosciuto appare nell’antica India intorno al 300 a.C. L’Arthashastra, un testo indù sull’arte di governare, descrive soldati e spie che utilizzano messaggi in codice. Dovevano trasmettere informazioni senza che i nemici le leggessero. Hanno usato cifrari a sostituzione. Hanno cambiato il significato delle lettere.
Usiamo la stessa logica oggi. Usiamo semplicemente computer più veloci e calcoli più complessi. Il principio rimane lo stesso. Nascondi il significato. Proteggi la chiave.
Puoi continuare a utilizzare la stessa password che avevi nel 2015. Oppure puoi utilizzare una stringa casuale, un’autenticazione a due fattori e un deposito univoco. La scelta è tua. Gli hacker stanno aspettando.
