“Ci ho messo il nome di mia figlia e l’anno di nascita: nessuno lo sa.” Lo sanno tutti quelli che hanno visto la foto della torta di compleanno su Facebook. E lo “sa” anche un programma, che prova nomi e anni prima di qualsiasi altra cosa.

Cosa è successo nel 2020?

Un gruppo di attaccanti ha pubblicato le schermate di un sito istituzionale italiano violato, con l’elenco degli amministratori e delle loro password. Molte erano costruite allo stesso modo: una parola comune o un nome, seguiti da un anno.

Non pubblico più quelle schermate: anche se in parte coperte, mostravano credenziali reali di persone reali. Basta la lezione: anche chi gestisce un sito pubblico usa password che si indovinano.

Perché nome più anno si indovina subito?

Per due motivi: è prevedibile ed è pubblico.

  • Prevedibile: i programmi che indovinano le password non provano combinazioni a caso. Partono dalle parole più comuni, dai nomi propri e dagli anni, e li combinano in tutti i modi: “Giulia2013”, “giulia13”, “Giulia2013!”.
  • Pubblico: nomi di figli, nipoti e animali, date di nascita e anniversari sono spesso sui social. Chi prende di mira proprio te comincia da lì.

Una password di sole lettere e numeri non è debole in sé: è debole quando lettere e numeri significano qualcosa per te, e quindi per chiunque ti conosca un po’.

Cosa uso al posto di nomi e date?

Qualcosa di lungo che non parla di te.

  • Tre o quattro parole a caso unite insieme, senza legame con la tua vita.
  • Una password diversa per ogni servizio, salvata in un gestore di password che cifra i dati sul tuo dispositivo, come FileFort Vault, gratuito per Android.
  • La verifica in due passaggi su posta, banca e social: anche se qualcuno indovina la password, non entra.

Domande frequenti

Una password con il nome di mio figlio e l'anno di nascita è sicura?

No. Nomi propri e anni sono tra le prime combinazioni che un programma prova, e spesso sono visibili sui social. Cambiala con una password lunga, fatta di parole a caso senza legame con la tua vita, e attiva la verifica in due passaggi.

Come creo una password sicura che riesco a ricordare?

Unisci tre o quattro parole a caso che non hanno a che fare con te: è lunga, quindi difficile da indovinare, e si ricorda. Per tutte le altre password usa un gestore di password, così devi ricordarne una sola.

Se aggiungo un simbolo, la password con il nome diventa sicura?

Di poco. I programmi provano anche le varianti più comuni: maiuscola all'inizio, punto esclamativo alla fine, numeri al posto delle lettere. Conta di più la lunghezza e il fatto che la password non sia legata a te.

In azienda lo stesso errore si chiama “Nomeazienda123”: lo vedi nel caso Intel.