Questo articolo si basa su ricerche di cybersecurity pubblicamente disponibili, report di settore e pratiche di sicurezza ampiamente riconosciute. Quando viene menzionata un'esperienza personale, ciò viene indicato esplicitamente.

In breve

Le password create dagli esseri umani seguono schemi prevedibili che gli attaccanti sfruttano con attacchi a dizionario e basati su regole.
Anche password apparentemente "furbe", come L!nk3d1n2020, cadono in pochi minuti perché seguono comuni regole di sostituzione.
Le password generate da un CSPRNG eliminano gli strumenti più potenti dell'attaccante: dizionari e regole.
Usa un password manager con una master password robusta, attiva l'MFA e non riutilizzare mai le password.

Risposta breve

Dopo quindici anni nel penetration testing, posso confermare che le password create dagli esseri umani sono sistematicamente l'anello più debole nelle valutazioni di sicurezza. Gli attaccanti non indovinano le password una per una: automatizzano gli attacchi usando dizionari con miliardi di password reali e trasformazioni basate su regole. Password come Tiger2021! vengono violate in pochi minuti perché seguono schemi che gli esseri umani non possono fare a meno di usare: una parola, una maiuscola, numeri alla fine. L'unica vera difesa è eliminare completamente questa prevedibilità umana attraverso una generazione casuale crittograficamente sicura.

Per una generazione rapida, usa il Generatore di Password. Per approfondire, leggi L'Entropia delle Password Spiegata, Password Manager vs Browser, Quanto Deve Essere Lunga una Password?, e È Sicuro Usare Generatori Online?.

Una violazione che quasi tutti hanno dimenticato — ma non dovrebbero

Nel 2012, LinkedIn subì quella che all'epoca fu una delle più grandi violazioni di dati della storia. Analisi successive mostrarono che circa 167 milioni di account furono esposti, e circa 117 milioni di essi includevano indirizzi email e hash delle password.

Quando i team di sicurezza esaminarono le password violate, i risultati furono dolorosamente familiari. password1, linkedin123 e scelte altrettanto poco curate comparvero a milioni. Ancora più interessante — e più preoccupante — è che anche password apparentemente furbe, come L!nk3d1n2020, caddero rapidamente. Perché? Perché seguivano schemi che gli esseri umani usano quasi sempre.

Lavoro da oltre quindici anni nel penetration testing di cybersecurity. Il mio lavoro consiste nell'introdursi nei sistemi — legalmente — usando gli stessi metodi impiegati dai veri attaccanti. Le password non sono un argomento teorico per me: sono qualcosa che vedo fallire nella pratica ogni singolo giorno.

Come vengono davvero attaccate le password

Per capire perché alcune password resistono e altre no, bisogna guardare dal lato dell'attaccante. Gli attaccanti non stanno lì a indovinare le password una per una. Automatizzano tutto.

Attacchi a dizionario: Si basano su enormi collezioni di password reali, parole, frasi e variazioni raccolte in anni di violazioni di dati. Questi dizionari contengono miliardi di voci e continuano a crescere.
Attacchi basati su regole: Sono devastanti contro la creatività umana. Gli strumenti applicano automaticamente abitudini comuni: sostituire "o" con "0", aggiungere "123" o "!" alla fine, mettere la maiuscola alla prima lettera, inserire un anno, e così via. La maggior parte delle password "furbe" cade proprio qui.
Forza bruta: Provare ogni combinazione possibile. Suona spaventoso, ma contro password lunghe e veramente casuali, memorizzate con algoritmi di hashing moderni, la forza bruta diventa rapidamente impraticabile semplicemente perché richiede troppo tempo.

Il problema delle password auto-create

Ci piacciono le password che inventiamo noi stessi perché ci sembrano personali e memorabili. Sfortunatamente, la ricerca — e l'esperienza — dimostrano che sono anche altamente prevedibili.

Gli schemi si ripetono: Studi su larga scala, incluso il lavoro della Carnegie Mellon University, mostrano costantemente le stesse strutture: una parola o un nome, una maiuscola all'inizio, numeri o simboli alla fine. Il contenuto cambia, ma la forma resta la stessa. Una volta che gli attaccanti modellano quella struttura, la violazione diventa drasticamente più veloce.
La lunghezza ha un tetto: La maggior parte delle password create dagli utenti si colloca tra 8 e 10 caratteri. Non perché le persone non sappiano che più lunga è più sicura, ma perché la memoria ci spinge verso stringhe più brevi.
Le informazioni personali filtrano dentro: Compleanni, nomi di animali domestici, anniversari — le persone li usano costantemente. E nell'era dei social media, gli attaccanti spesso non devono nemmeno indovinare.

Perché le password casuali giocano una partita diversa

Una password creata da un generatore di password casuali sicuro — qualcosa come r8$NpL#2qW9 — non è semplicemente "più complessa". È fondamentalmente diversa.

Ogni carattere viene scelto in modo indipendente. Non ci sono parole, sostituzioni, né logica umana. Questo unico fatto elimina gli strumenti più potenti dell'attaccante: dizionari e regole.

Da un punto di vista numerico:

Una password di 8 caratteri che usa solo lettere minuscole ha circa 26⁸ possibilità (~209 miliardi).
Aggiungendo maiuscole, numeri e simboli, si arriva improvvisamente a circa 95⁸ (~6 quadrilioni).
Portandola a 12 caratteri, lo spazio diventa astronomicamente grande.

Ma il vero vantaggio non è solo la dimensione — è che le password casuali costringono gli attaccanti alla forza bruta, che è lenta, costosa e spesso non ne vale la pena.

Come appare in pratica la violazione di queste password

Dal punto di vista di un penetration tester, la differenza è netta:

Tipo di password	Esempio	Metodo dell'attaccante	Tempo per violarla
Auto-creata	`Tiger2021!`	Dizionario e basato su regole	Da minuti a ore
Generata casualmente	`r8$NpL#2qW9`	Pura forza bruta	Anni / Secoli

Se la password è correttamente sottoposta a hashing con qualcosa come bcrypt o Argon2, la forza bruta contro la stringa casuale implica un lasso di tempo che rende l'attacco impraticabile. Nella maggior parte dei casi reali, l'attaccante semplicemente passa oltre.

Il vero compromesso: umani contro casualità

Il più grande punto debole delle password casuali non è la sicurezza — è l'usabilità. Gli esseri umani sono pessimi nel ricordare stringhe prive di significato. Questa è la tensione centrale nella sicurezza delle password:

Le password che gli esseri umani ricordano bene tendono a essere deboli.
Le password robuste tendono a essere impossibili da memorizzare.

Le pratiche di sicurezza moderne esistono proprio per colmare questo divario.

Cosa funziona davvero oggi

Sulla base del consenso del settore e dell'esperienza reale:

Usa un password manager: Strumenti come Bitwarden o 1Password ti permettono di affidarti a un'unica master password robusta, mentre tutto il resto è lungo, casuale e unico. Questa è ampiamente considerata la migliore opzione per la maggior parte delle persone.
Se devi memorizzare, punta sulla lunghezza: Una stringa di parole non correlate (ad esempio coffee-zebra-battery-stapler) è spesso più resistente agli attacchi — e più facile da ricordare — di una password corta e piena di simboli.
Non riutilizzare mai le password: Una volta che un sito viene violato, il riutilizzo lo trasforma in un effetto domino.
Attiva l'MFA: Email, banca, account cloud — usa sempre l'autenticazione a più fattori.
Controlla la tua esposizione alle violazioni: Servizi come Have I Been Pwned ti permettono di verificare se la tua email compare in dataset di violazioni note.

Punti chiave

Le password umane seguono schemi strutturali ripetibili (parola + numero + simbolo).
Gli attacchi a dizionario contengono miliardi di password reali provenienti da violazioni di dati.
Gli attacchi basati su regole applicano automaticamente sostituzioni comuni (o→0, a→@, aggiungendo 123 o !).
Le password casuali di 12 o più caratteri costringono gli attaccanti alla forza bruta, computazionalmente inattuabile contro l'hashing moderno.
I password manager colmano il divario tra sicurezza e usabilità.

In conclusione

La creatività umana non è alla pari degli strumenti di attacco automatizzati. Le uniche password che sopravvivono a test di penetrazione reali sono quelle generate da un CSPRNG, dove ogni carattere è indipendente e imprevedibile. Non è un dibattito filosofico su chi crei password "migliori" tra umani e macchine: è gestione del rischio. I computer sono bravi a generare casualità, e gli esseri umani sono bravi a proteggere un singolo segreto e a rispondere a richieste come l'MFA. Lascia che ognuno faccia ciò in cui è più bravo.

Pronto a migliorare la tua sicurezza? Genera subito una password forte e offline per proteggere immediatamente i tuoi account.

Perché puoi fidarti di PassGenerate

Le password vengono generate localmente nel tuo browser tramite l'API Web Crypto.
Nessuna password viene trasmessa a server.
Utilizza un generatore di numeri pseudo-casuali crittograficamente sicuro (CSPRNG).
Segue le moderne best practice di sicurezza raccomandate da NIST e OWASP.

Riferimenti

NIST SP 800-63B – Digital Identity Guidelines
OWASP Password Storage Cheat Sheet
OWASP Authentication Cheat Sheet
Documentazione MDN sull'API Web Crypto
CISA Password Guidance

Perché gli attaccanti amano le password create dagli esseri umani