Quasi ogni furto di account, attacco di credential stuffing e tentativo di indovinare una password tramite ingegneria sociale riconduce a un solo nome: RockYou.

La maggior parte delle persone non ne ha mai sentito parlare, ma le fughe di dati RockYou rappresentano il disastro di password più grande e più duraturo nella storia di internet — e sono ancora oggi attivamente usate contro gli utenti comuni. Ciò che è iniziato come una singola violazione nel 2009 ai danni di un sito di giochi sociali si è trasformato in una serie di raccolte sempre più grandi — RockYou2021, RockYou2024 — che insieme contengono decine di miliardi di password reali, già usate in passato. Gli attaccanti non hanno più bisogno di "craccare" la tua password: c'è una buona probabilità che si trovi già in uno di questi file.

In breve

Nel 2009, RockYou (un'azienda di app social, non un gruppo di hacker) conservava 32 milioni di password degli utenti in chiaro. La violazione ha fornito agli attaccanti il primo dizionario di password reali su scala enorme — e ha dato il nome a un'intera categoria di fughe di dati.
RockYou2021 (8,4 miliardi di voci) e RockYou2024 (quasi 10 miliardi di password uniche in chiaro) sono raccolte che aggregano anni di violazioni distinte, non nuovi attacchi singoli — ma le password al loro interno sono reali e ancora valide su molti account.
Una notizia ampiamente diffusa nel giugno 2025 su "16 miliardi di credenziali" non significava che Google, Apple o Facebook fossero stati violati: tutti e tre hanno confermato che non era così. Si trattava di una raccolta scoperta da Cybernews di vecchi log di malware infostealer.
Il riutilizzo delle password è ciò che rende ancora oggi pericolose queste vecchie fughe di dati. La soluzione sono password uniche, ad alta entropia, generate localmente per ogni account — mai una password che il dizionario di un attaccante potrebbe già contenere.

Risposta breve

Le fughe di dati RockYou sono importanti perché hanno trasformato "quali password sceglie davvero la gente" in un set di dati pubblico e scaricabile che continua a crescere. Gli attaccanti non devono indovinare: provano la tua email contro questi file, e se hai riutilizzato una password da qualche parte negli ultimi 15 anni, c'è una reale probabilità che sia già lì. L'unica soluzione duratura è smettere di riutilizzare le password e smettere di sceglierle da soli: genera una password unica e casuale per ogni account, localmente nel tuo browser, così che nulla di ciò che crei possa mai finire nella prossima versione di questo dizionario.

I. Da dove è iniziato tutto: la violazione RockYou del 2009

La maggior parte delle persone presume che "RockYou" sia un gruppo di hacker. Non lo era: era un'azienda legittima di giochi social che creava widget e giochi per i primi social network, con decine di milioni di utenti attivi al suo apice.

Il suo errore fatale: conservava la password di ogni utente in chiaro, senza alcun hashing. Nel 2009, la maggior parte delle piattaforme serie era già passata alla memorizzazione delle password con hash, quindi anche una violazione completa del database non avrebbe consegnato password leggibili. RockYou saltò completamente quel passaggio.

Quando gli attaccanti si introdussero, non ebbero bisogno di craccare nulla: copiarono semplicemente il database. Il risultato: 32 milioni di account reali, con password reali, in chiaro e leggibili, tutti in una volta.

Le conseguenze andarono ben oltre i soli utenti di RockYou:

Il riutilizzo delle password era già comune — la stessa password usata per i giochi di RockYou era spesso la stessa che proteggeva email, forum e account di shopping.
Quei 32 milioni di password in chiaro realmente usate diventarono il primo dizionario di password gigante tratto dal mondo reale — uno strumento di attacco molto più efficace di qualsiasi lista teorica, perché si trattava di password che persone reali avevano davvero scelto.
Stabilì il modus operandi che l'intero settore combatte ancora oggi: prendere una lista di password trapelata, provarla su ogni pagina di login raggiungibile, e vedere cosa funziona.

È anche per questo che "RockYou" ha smesso di essere solo il nome di un'azienda. Ogni grande raccolta di liste di password successiva ha adottato quel nome — RockYou2021, RockYou2024 — perché lo schema che ha avviato non si è mai fermato.

II. Le raccolte continuano a crescere (2021-2025)

La violazione del 2009 fu l'inizio, non la fine. Nel decennio successivo, le credenziali trapelate da innumerevoli violazioni scollegate tra loro hanno continuato a essere raccolte, deduplicate e riconfezionate in file sempre più grandi — ciascuno superando il record precedente.

1. RockYou2021 (giugno 2021): la prima raccolta su scala miliardaria

Nel giugno 2021, un post su un forum di hacker condivise un nuovo file — oltre 100 GB, contenente 8,4 miliardi di voci di password uniche. Non era la violazione di una singola azienda; era un'aggregazione massiccia di anni di fughe di dati distinte da social network, forum, e-commerce, gaming e sistemi aziendali, unite in un unico file di riferimento. All'epoca, era la più grande raccolta di password mai diffusa pubblicamente.

2. RockYou2024 (luglio 2024): quasi 10 miliardi di password uniche in chiaro

Nel luglio 2024, un utente di un forum di hacker pubblicò rockyou2024.txt: una versione raffinata e deduplicata, costruita su RockYou2021 e arricchita di circa 1,5 miliardi di password aggiuntive raccolte tra il 2021 e il 2024, per un totale di 9.948.575.739 password uniche in chiaro.

Ciò che rende pericolosa questa versione non è la sofisticazione, ma la precisione. Ogni voce è una password che una persona reale ha effettivamente usato, spesso ripetutamente, su più account. Gli attaccanti non devono forzare nulla via brute-force: devono solo provare ciò che è già nel file. (Alcuni ricercatori notano che il file è così grande che gran parte di esso è rumore di scarso valore per un cracking mirato — ma è proprio la sua dimensione a renderlo efficace per il credential stuffing automatizzato su larga scala.)

3. La storia dei "16 miliardi di credenziali" del 2025 — e cosa fosse davvero

Nel giugno 2025, i ricercatori di sicurezza di Cybernews hanno riferito di aver trovato 30 set di dati esposti e non protetti, contenenti complessivamente oltre 16 miliardi di record di credenziali, alcuni dei quali includevano URL di accesso per servizi come Google, Apple e Facebook, tra molti altri.

Questo è il punto da capire bene: Google, Apple e Facebook hanno tutti confermato che i propri sistemi non erano stati violati. La cifra di 16 miliardi non corrispondeva a un nuovo attacco a nessuna di queste aziende: era una raccolta di vecchi log di malware infostealer, raccolti da dispositivi infettati singolarmente nel corso di diversi anni e lasciati esposti in uno storage non protetto, non un'unica nuova mega-violazione. Le analisi di sicurezza dell'epoca hanno inoltre rilevato che una parte significativa dei dati era obsoleta, duplicata o di scarsa qualità.

Questa distinzione è importante, ma non elimina il rischio concreto: il file rimane comunque uno dei più grandi set di dati pronti all'uso per il credential stuffing mai assemblati, ed è confluito direttamente nello stesso ecosistema di raccolte in stile RockYou.

III. Perché queste vecchie fughe di dati funzionano ancora oggi

Un'ipotesi comune: "Quella violazione risale a anni fa, ho cambiato le mie password da allora, sono al sicuro." In pratica, due abitudini mantengono pericolosi questi vecchi set di dati:

Il riutilizzo delle password. La maggior parte delle persone continua a riutilizzare la stessa password, o variazioni molto simili, su più account. Anche dopo aver "cambiato" una password su un sito, quella vecchia (trapelata) spesso funziona ancora altrove.
Password deboli e prevedibili. 123456, password, qwerty, una data di nascita, un numero di telefono — sono in cima a ogni fuga di dati, anno dopo anno, e un dizionario compilato come RockYou2024 le individua in millisecondi.
I dati trapelati non scadono mai. Una volta che una password finisce in uno di questi file, vi resta in modo permanente, viene inclusa nella raccolta successiva, e viene provata più e più volte da strumenti automatizzati di credential stuffing.

IV. Cosa impedisce davvero tutto questo nel 2026

"Scegli una password più complessa" non basta più contro un dizionario con 10 miliardi di voci reali, già usate in passato. Ciò che funziona davvero:

Una password unica per ogni account, senza eccezioni. Il riutilizzo è il motivo principale per cui le vecchie fughe di dati restano pericolose — una singola password riutilizzata può compromettere ogni account su cui è stata riusata.
Usa password casuali ad alta entropia invece di inventarle tu. Qualsiasi cosa un essere umano possa facilmente pensare e ricordare ha una probabilità sproporzionatamente alta di trovarsi già in un dizionario trapelato. Una password senza alcuno schema — lunghezza, maiuscole/minuscole, numeri e simboli casuali — semplicemente non si trova in questi file.
Genera le password localmente, non tramite uno strumento online che le memorizza o le registra. Un generatore di password che carica ciò che crea su un server può a sua volta diventare una futura fuga di dati. L'unico modo per garantire che una password appena generata non finisca mai nella versione di domani di RockYou è generarla interamente sul proprio dispositivo, senza trasmettere nulla a nessuno.

V. Come si inserisce PassGenerate in tutto questo

PassGenerate è costruito esattamente su questa logica: ogni password viene generata localmente nel tuo browser, utilizzando la Web Crypto API — nulla viene caricato, registrato o memorizzato su un server, quindi nulla di ciò che generi qui potrà mai diventare un dato in una futura raccolta di fughe di dati.

100% lato client, zero upload verso server. La generazione casuale, la valutazione della robustezza e l'assemblaggio delle passphrase avvengono tutti nel tuo browser tramite crypto.getRandomValues(). Nessuna password che generi lascia mai il tuo dispositivo.
Nessun account, nessuna conservazione dei dati. Non c'è registrazione né database, quindi non c'è nulla da violare in primo luogo.
Open source e verificabile. Il codice è pubblico, quindi l'affermazione "è locale" non è qualcosa che devi credere sulla fiducia.
Password casuali personalizzate o passphrase memorabili. Regola lunghezza e set di caratteri per password completamente casuali, oppure usa la modalità passphrase (con separatori, maiuscole e numeri) per qualcosa di più facile da digitare senza ricadere in uno schema prevedibile.
Generazione e download in blocco, e un indicatore di robustezza in tempo reale per vedere esattamente quanto una password sia lontana dall'essere "già in un dizionario trapelato".

Lo strumento è gratuito, funziona in 18 lingue, e il blog tratta argomenti correlati come l'entropia delle password, se i password manager sono sicuri, e perché gli attaccanti amano le password create dagli umani se vuoi approfondire.

Punti chiave

La violazione RockYou del 2009 (32 milioni di password in chiaro) ha creato il primo dizionario di password gigante tratto dal mondo reale, e ha dato il nome a tutte le raccolte successive.
RockYou2021 (8,4 miliardi di voci) e RockYou2024 (~10 miliardi di password uniche) sono aggregazioni di anni di fughe di dati distinte, non nuove violazioni singole — ma ogni password al loro interno è reale e funziona ancora ovunque venga riutilizzata.
La storia dei "16 miliardi di credenziali" del 2025 era una raccolta di log di infostealer scoperta da Cybernews, non una violazione dei sistemi propri di Google, Apple o Facebook — entrambe le cose possono essere vere insieme: nessun nuovo attacco aziendale, e comunque un rischio di credential stuffing massiccio e reale.
Il riutilizzo delle password e le password prevedibili sono il motivo per cui fughe di dati vecchie di 15 anni causano ancora oggi furti di account.
La soluzione sono password uniche, casuali e generate localmente per ogni account — mai una che il dizionario di un attaccante potrebbe già contenere.

In conclusione

Diciassette anni dopo la violazione originale di RockYou, la lezione non è cambiata, solo la scala: gli attaccanti raramente devono craccare una password forte — hanno solo bisogno che tu ne abbia riutilizzata una debole. Cambiare una password dopo il fatto non annulla un decennio di riutilizzo su altri account. L'unico approccio che chiude davvero la porta agli attacchi in stile RockYou è generare una password unica e ad alta entropia per ogni account, localmente, così che non abbia mai la possibilità di finire nella prossima raccolta.

Perché puoi fidarti di PassGenerate

Le password vengono generate localmente nel tuo browser tramite l'API Web Crypto.
Nessuna password viene trasmessa a server.
Utilizza un generatore di numeri pseudo-casuali crittograficamente sicuro (CSPRNG).
Segue le moderne best practice di sicurezza raccomandate da NIST e OWASP.

Riferimenti

Cybernews – Ricerca sulla raccolta 2025 di 30 set di dati e 16 miliardi di credenziali
Malwarebytes – RockYou2024: quasi 10 miliardi di password trapelate online
Have I Been Pwned – Set di dati Pwned Passwords
NIST SP 800-63B – Digital Identity Guidelines, Authentication and Lifecycle Management

Le fughe di password RockYou: una storia completa dal 2009 al 2026 (e come proteggersi davvero)