Password: come te le rubano.
E come le proteggi senza ricordarle.

Cosa rende sicura una password?

Come rubano le password, davvero?

Raramente indovinandole: quasi sempre facendosele dare o prendendole altrove. 5 tecniche, raccontate negli articoli del sito con le fonti. Per ciascuna: cosa succede, in due righe, e dove leggere il resto.

Il video-corso in 7 puntate che mostra come si costruisce una pagina falsa per rubare una password sta nella guida al phishing.

Come capisco se la mia password è debole?

1. La usi su più di un sito. È il segnale più importante. Basta che uno di quei siti venga violato, e la tua password apre anche gli altri.
2. L'hai scelta tu e la ricordi a memoria. Contiene un nome, una data, la città, il nome dell'azienda, o è una parola con un numero alla fine. Sono i primi tentativi di chiunque.
3. È corta. Sotto i 15 caratteri è sotto il minimo raccomandato dall'ente americano degli standard (NIST) per una password usata da sola; se l'hai scelta tu è anche prevedibile. Una password generata a caso di 16 caratteri o più regge.
4. La tua email compare in una fuga di dati. Lo controlli gratis, senza scrivere nessuna password, su passwordrubata.com.

Come faccio a ricordare trenta password diverse?

Non le ricordi: le ricorda un gestore di password. È un'app che crea password lunghe e casuali, le tiene cifrate (cioè illeggibili per chi non ha la chiave) e le inserisce al posto tuo. Tu ne ricordi una sola: la password principale.

Ha anche un vantaggio che pochi conoscono: il gestore compila la password solo sul sito per cui l'hai salvata. Se su una pagina non te la propone, fermati: potresti essere su un sito falso.

Cosa cercare in un gestore:

• cifra le password sul tuo dispositivo, prima che vadano da qualsiasi parte;
• si apre con la password principale e con l'impronta o il volto;
• è protetto con la verifica in due passaggi, se le password passano da un server;
• ti lascia fare una copia di sicurezza cifrata sul tuo computer o su una chiavetta.

Io ho voluto un gestore che non si collega nemmeno a Internet: FileFort Vault, app gratuita, per ora solo Android (la versione per iPhone e iPad è in lavorazione). Tiene password e codici della verifica in due passaggi sul telefono, e l'app non ha il permesso di andare in rete. Il prezzo della scelta: niente sincronizzazione fra dispositivi, e la copia di sicurezza la fai tu. Mettila sul tuo computer o su una chiavetta che tieni a casa.

Se preferisci le password fuori da ogni dispositivo, c'è la carta. KEYBOKY, il metodo che ho creato, è un quaderno di griglie di caratteri casuali: tracci un percorso sulla griglia e ottieni una password lunga e imprevedibile. Va custodito come un mazzo di chiavi.

La password principale di un gestore che non passa da un server non si può recuperare: nessuno te la può reimpostare. Sceglila di quattro o cinque parole a caso e conservala su un foglio, insieme ai documenti importanti di casa.

Cos'è una passkey, e conviene?

Una passkey è un accesso senza password. Quando entri, il telefono o il computer ti chiedono l'impronta, il volto o il PIN di sblocco, e confermano al servizio che sei tu. Non c'è niente da scrivere, quindi niente da rubare con una pagina falsa: la passkey funziona solo sul sito vero. E non c'è niente da dettare al telefono.

Molti servizi la offrono già, di solito nelle impostazioni di sicurezza dell'account, alla voce «passkey». Dove c'è, attivala. Due accorgimenti: tieni attivo anche un secondo modo per entrare, nel caso perdessi il telefono; e la passkey si apre con lo sblocco del telefono: chi conosce il tuo PIN può entrare. Creala solo sui dispositivi tuoi, non su un tablet condiviso.

Una buona password basta?

No: serve anche la verifica in due passaggi. Oltre alla password, il servizio ti chiede una seconda prova, per esempio un codice generato da un'app sul telefono. Così chi ruba solo la password resta fuori. Quale metodo scegliere, su quali account attivarla per prima e come provano ad aggirarla è nella guida alla verifica in due passaggi.

Quando la attivi, il servizio ti dà dei codici di emergenza: servono se perdi il telefono. Stampali o scrivili su carta: in una busta chiusa per le emergenze, con i documenti di casa, oppure nelle pagine di note di KEYBOKY: in quel caso il quaderno va in una busta chiusa, in una cassetta di sicurezza, e non viaggia mai insieme al telefono. Mai sul telefono, in una foto o in una e-mail. Il dettaglio è nella sezione i codici di emergenza.

Cosa faccio, da oggi, per proteggere le mie password?

Quando qualcuno ti chiede una password o un codice

Il Metodo 3V del mio libro «Sicurezza informatica per professionisti» si riduce qui a una domanda di Validazione: anche se fosse davvero la banca, il tecnico o un amico, ha senso che mi chieda un codice? La risposta è sempre no. Chi ha bisogno di entrare nel tuo account non ha bisogno della tua password.

La mia password è stata rubata: cosa faccio?

Niente vergogna, e niente attese. Prima cambi la password, meno tempo ha chi l'ha presa. Segui l'ordine.

Hai perso soldi? Chiama subito la banca, prima di tutto il resto. Era un account di lavoro? Avvisa subito chi gestisce l'informatica. Era la posta o un social? Avvisa i tuoi contatti di non mandare soldi a nessuno che scriva a tuo nome.

1. Se sospetti un programma sul computer, non usarlo per entrare negli account finché non è stato ripulito: considera rubato tutto quello che c'era salvato. Fai i passi seguenti da un altro dispositivo.
2. Cambia la password sul sito vero, aperto da te dall'app o scrivendo l'indirizzo, mai da un link ricevuto.
3. Butta fuori chi è entrato: nelle impostazioni dell'account cerca «esci da tutti i dispositivi» o l'elenco degli accessi, e chiudi quelli che non riconosci.
4. Controlla cosa è cambiato: l'email e il numero di recupero, le regole di inoltro della posta, le «password per le app» (un codice speciale che entra senza chiedere la verifica). Chi entra spesso lascia una porta aperta per tornare.
5. Attiva la verifica in due passaggi, se non c'era, e salva i codici di emergenza.
6. Cambiala ovunque l'avevi riusata. Comincia dalla posta, poi banca e social. È il momento di metterle in un gestore, una diversa per sito.
7. Controlla da quali fughe di dati arriva: su passwordrubata.com basta la tua email, nessuna password.

Non riesci più a entrare, perché hanno cambiato la password? Usa solo la pagina di recupero ufficiale del servizio, aperta da te. Non pagare chi in rete o al telefono ti offre di «recuperare l'account»: il recupero vero passa solo dal servizio.

Dove lo segnalo?

1. In Svizzera: all'Ufficio federale della cibersicurezza (UFCS) con il modulo online di segnalazione: scegli il tipo di caso e descrivi cosa è successo, bastano pochi minuti. Se hai perso soldi o hanno usato il tuo account per truffare altri, la denuncia si fa alla polizia cantonale.
2. In Italia: alla Polizia Postale, con le segnalazioni online del Commissariato di P.S., oppure con una denuncia in un ufficio della Polizia Postale o in questura.

Conserva le prove prima di cancellare qualcosa: schermate del messaggio, email di avviso del servizio («nuovo accesso», «password cambiata»), orari.

Quanto succede, in Svizzera e in Italia?

Fra gli attacchi che le infrastrutture critiche svizzere devono notificare, l'accesso non autorizzato è il primo; e il phishing, che serve a rubare password, è fra i reati più denunciati in Svizzera e in Italia. I numeri ufficiali più recenti:

• Svizzera, polizia: nel 2025 sono stati registrati 1'124 reati di intrusione in un sistema informatico con i dati di accesso di un altro, cioè con una password altrui; nel 2024 erano 1'164, nel 2020 erano 470. Nello stesso anno i reati di phishing sono stati 7'409. Fonte: UST, criminalità digitale: modi operandi e persone danneggiate 2020-2025, 23 marzo 2026.
• Svizzera, UFCS: fra i 200 casi notificati nel primo semestre 2026 dai gestori di infrastrutture critiche, obbligati a farlo, l'accesso non autorizzato è il tipo di attacco più frequente (quasi il 26%), per lo più caselle email rubate con il phishing; il furto di dati d'accesso è al 13,5%. Sono solo le notifiche obbligatorie di energia, ospedali, enti pubblici e simili, non le segnalazioni dei privati (27'128 nello stesso semestre, contate a parte). Fra le segnalazioni volontarie l'UFCS ha visto anche più phishing contro le caselle Microsoft 365 delle aziende, per prendersi gli account e usarli per altre truffe. Fonte: UFCS, rapporto semestrale 2026/I, 24 agosto 2026.
• Italia, CERT-AGID: nel 2025 circa il 60% dei programmi malevoli analizzati erano programmi per rubare dati come password e accessi. Nel phishing l'obiettivo principale sono state le credenziali della banca e della posta. Nelle 89 fughe di dati rilevate che contenevano anche indirizzi di enti pubblici, in poco più di tre quarti dei casi c'erano anche le password. Fonte: CERT-AGID, report sulle campagne malevole del 2025, 10 febbraio 2026.
• Italia, Polizia Postale: le truffe passano soprattutto da campagne di phishing per email, telefono e SMS, che puntano a dati personali, password e credenziali di accesso. Nel 2025 il portale del Commissariato di P.S. online ha raccolto oltre 32'000 segnalazioni di phishing (dati al 21 dicembre 2025). Fonte: Polizia Postale, report annuale 2025, 10 gennaio 2026.

Denunce alla polizia, notifiche all'UFCS e campagne analizzate dal CERT-AGID sono cose diverse: non si sommano e non si confrontano fra loro. Molte vittime non denunciano, quindi i numeri veri sono probabilmente più alti. Il quadro completo è nella retrospettiva del 2025.