Ogni anno, i gestori di password e le indagini delle aziende di cybersicurezza scoprivano la stessa cosa. Le password più diffuse a livello globale rimangono 123456, password e più di recente, persino admin. Con milioni di account e capaci di essere decifrate in meno di un secondo attraverso software base, queste sono ovunque.

Inoltre, la maggior parte delle violazioni si verificano a causa di password deboli o riutilizzate. Una meta-analisi di studi ha concluso che circa l'80% delle violazioni è attribuito a password deboli o rubate.

Quindi se esiste "una password che tutti usano e che gli hacker non riescono a decifrare," non è veramente una password. Invece, è la forma in cui nessuno la usa.

Lunga. Unica. E accompagnata da un ulteriore livello di sicurezza.

Analizziamo cosa significa.

Perché le NOSTRE password preferite si decifrano in secondi

Considera quante persone creano le loro password.

Il nome di un animale domestico più un numero.
Un compleanno.
'Password123'.
La stessa password ovunque vadano, con una modifica di ! o 2025.

Gli hacker lo capiscono. Invece di starsene seduti a provare cose a caso, scorrono rapidamente le password più diffuse — utilizzando dati rubati vecchi più trucchi come aggiungere "123" alla fine — tutto fatto a una velocità fulminea.

La ricerca dice che la maggior parte delle password cattive si rompe velocemente — in meno di un secondo — con strumenti di base di indovinazione.

Quindi il problema reale non è che gli hacker siano super intelligenti — è che siamo molto prevedibili.

Perché le lunghe passphrase battono silenziosamente le password brevi complesse

Nel tempo, i suggerimenti di sicurezza suonavano più o meno uguali. Scegli una lettera maiuscola, aggiungi un carattere speciale, inserisci una cifra e cambia anche la tua password di tanto in tanto. Il risultato? Cose come P@ssw0rd! o De!h!2024 sono apparse. Sembrerebbero difficili a prima vista — eppure sono effettivamente brevi, indovinabili e non user-friendly. Di conseguenza, le persone tendono a ripeterle su più account.

Ora le direzioni puntano in modo diverso. Gruppi come NIST in America o il team di cybersicurezza del Regno Unito suggeriscono di usare frasi più lunghe piuttosto che codici brevi difficili; inoltre non insistono più su reset regolari.

Una password composta da varie parole non correlate — come "mela luna fiume" — è chiamata passphrase.

correct horse battery staple glass river yellow train photo carpet orange bridge

La famosa striscia di fumetti "correct horse battery staple" di XKCD ha reso questo concetto popolare. Successivamente, gli scienziati hanno testato passphrase a tre parole generate dal sistema — risulta che le persone le ricordavano più facilmente rispetto alle combos di caratteri disordinati, eppure rimanevano sicure abbastanza per i compiti ordinari.

Perché funziona

Ogni parola aggiunta aumenta l'"entropia" — questo è quanto è difficile da decifrare. Mentre frasi più lunghe significano più casualità, quelle brevi sono più facili da prevedere.
Una frase di quattro parole potrebbe offrire molte più opzioni di combinazione rispetto a una password breve con simboli. Invece di codici brevi pesanti su simboli, miscele di parole più lunghe creano supposizioni più difficili. Scambiare numeri o lettere non aiuterà molto contro schemi così imprevedibili. Ogni termine comune aggiunto aumenta la complessità senza aver bisogno di strani caratteri.
È più facile per gli umani ricordare "glass river yellow train" piuttosto che $rT9!pL2.

Regola pratica

Scegli quattro o sei parole che sembrano totalmente casuali — niente citazioni, niente testi di canzoni. Usa qualcosa come nuvola, cucchiaio, tigre, finestra, mela o scarpa. Mescolali in modo che non si colleghino insieme. Mantienilo allentato, mantienilo strano. Scarta qualsiasi cosa prevedibile.
Evita cose private. Salta soprannomi, date di nascita o città natali legate alla tua identità.
Prova uno strumento di gestione password per creare e salvare le tue password quando possibile.

Non stai cercando qualche frase magica. Invece, vuoi lunghezza più casualità.

La cosa più vicina all'"impossibile da decifrare". Aggiungi MFA in cima.

Una password solida è solo la prima parte. Quando esce fuori durante un hack, qualcuno potrebbe usarla comunque. È allora che usare passaggi di accesso aggiuntivi fa tutta la differenza.

MFA significa che l'accesso richiede una o due cose, come una password seguita da un codice. Come-

Qualcosa che conosci. Come la tua password.
Una cosa che possiedi — come un cellulare, una chiave di sicurezza o un'app.
A volte è semplicemente chi sei — come la tua impronta digitale o magari il tuo viso.

Grandi studi basati su account nel mondo reale mostrano quanto sia potente questo. Microsoft ha riferito che l'abilitazione di MFA può bloccare oltre il 99% degli attacchi automatizzati agli account.

Come appare effettivamente-

Se qualcuno ruba la tua password da una fuga di dati, rimangono bloccati — nessun accesso a meno che non abbiano il tuo secondo passaggio. Una password rubata è inutile da sola quando c'è un altro livello che blocca la strada.
Anche se l'intelligenza artificiale prevede rapidamente la tua password, si blocca a quello stadio aggiuntivo — perché una barriera in più blocca la strada. Una singola mossa extra la getta fuori, non importa quanto velocemente funziona.

MFA non è perfetto. Al giorno d'oggi, gli hacker mirano a rubare codici monouso o bombardare il tuo schermo con pop-up finché non ne approvi accidentalmente uno. Ma aumenta il costo per gli attaccanti abbastanza da far sì che la maggior parte si sposti verso un bersaglio più facile.

Se c'è una versione moderna di "la password che tutti usano e che gli hacker non riescono a decifrare". È davvero questa combinazione.

Passphrase lunga e unica + MFA attivato ovunque conti.

Come l'intelligenza artificiale sta cambiando gli attacchi alle password

Decifrare le password non è nuovo. Strumenti come Hashcat e i vecchi metodi di brute force sono stati comuni. Ma poi è arrivata l'intelligenza artificiale — ha cambiato il modo in cui vengono fatte le supposizioni. Non prova solo ogni combinazione; apprende i pattern invece.

Gli scienziati hanno creato strumenti — PassGAN è uno — che imparano dalle password rubate effettive, come quelle nel famoso dataset RockYou, utilizzando un metodo chiamato reti generative avversarie. Questi sistemi di intelligenza artificiale capiscono come le persone creano password individuando tendenze come-

Scambiare lettere con cifre. a a @, s a 5.
Aggiungere anni. 1998, 2023, 2025.
Parole che conosciamo + numeri etichettati — come dragon1, summer@123.

La ricerca dice che l'utilizzo di strumenti di intelligenza artificiale insieme ai cracker attuali accelera la rottura delle password effettive — molto più veloce delle tecniche più vecchie basate su regole.

Il lato positivo? Questi strumenti hanno difficoltà a decifrare frasi lunghe e inventate — in particolare se non le ripeti su diversi siti web. Il lato negativo? Quando la tua password segue una tendenza comune, l'intelligenza artificiale la decifra velocemente — grazie a algoritmi intelligenti che imparano dalle abitudini. Invece di fare affidamento su combo semplici, pensa all'imprevedibilità; altrimenti, gli hacker vincono per impostazione predefinita.

Come costruire il tuo accesso "difficile da decifrare"

C'è un metodo facile da applicare in questo momento.

1. Scegli un singolo account per primo. Per esempio.

La tua casella di posta principale.
La tua banca principale o app di pagamento.
Il tuo archivio cloud principale

Trattalo come il passcode principale per tutto il resto online.

2. Crea una passphrase lunga Non usare questi esempi esatti, ma segui il modello.

Prendi uno strumento di parola casuale, o guarda intorno — scegli quello che salta fuori e seleziona parole non correlate.
Mira a circa 4-6 parole, qualcosa come window ocean coffee pencil garden.

Se il tuo servizio lo consente, puoi unirli con spazi o un simbolo. Ma le parti importanti sono lunghezza e casualità, non sostituzioni carine.

3. Attiva MFA

Preferisci l'accesso basato su app — diciamo, un autenticatore o una chiave di sicurezza — invece di SMS quando puoi.
Controlla i tuoi servizi chiave uno per uno — attiva MFA per ciascuno utilizzando il metodo che offrono.

4. Prova a usare un gestore di password

Lascia che generi password diverse per ogni sito.
In questo modo, devi ricordare solo una o due passphrase forti.

5. Abbandona quella password "universale" antiquata Se riusi la stessa password su più siti — prova a cambiare un piccolo dettaglio qua e là — dato che è quello che i tools di intelligenza artificiale sfruttano davvero. Catturano quei pattern velocemente. Inizia a sostituirla su account chiave per primi.

Allora, esiste una password che gli hacker non riescono a decifrare?

Non per sempre. Eppure esiste una certa configurazione che protegge i tuoi profili molto meglio — e costa di più agli hacker — rispetto ai setup tipici.

Stai lontano dal percorso battuto. Non essere prevedibile.
Usa frasi più lunghe con parole imprevedibili.
Mescola le cose — prova combinazioni insolite di tanto in tanto.
Usa MFA ovunque possibile — lancialo in ogni punto che lo consente.
Lascia che un gestore di password gestisca le password per te.

Stai cercando di costruire un team tecnico remoto ad alte prestazioni?

Consulta MyNextDeveloper, una piattaforma dove puoi trovare il 3% migliore di ingegneri del software che sono profondamente appassionati di innovazione. Le nostre soluzioni complete, dedicate e approfondite di talent del software forniscono una soluzione completa per tutti i tuoi requisiti software.

Visita il nostro sito web per esplorare come possiamo aiutarti a assemblare il tuo team perfetto.