Gli strumenti basati sull'IA possono testare miliardi di combinazioni di password al secondo sfruttando elenchi rubati da vecchie violazioni di dati. Ma il vero pericolo è più semplice: riutilizzare la stessa password su più siti significa che una sola password compromessa può aprire decine di account. La soluzione è un gestore di password, l'autenticazione a due fattori e un controllo gratuito delle violazioni — tutto configurabile in un pomeriggio senza alcuna competenza tecnica.
In un sondaggio AARP tra adulti americani di 50 anni e oltre, la preoccupazione per l'uso dell'IA per decifrare le password si è classificata prima con l'87% — davanti ai deepfake (85%) e alla clonazione vocale (84%). (Fonte: AARP Public Policy Institute.) Questa preoccupazione è fondata. Gli strumenti di IA possono ora testare automaticamente enormi elenchi di password rubate su centinaia di siti web, più velocemente di qualsiasi essere umano.
La parte rassicurante: non ha bisogno di competenze tecniche per proteggersi. I quattro passi seguenti funzionano che lei abbia un iPhone, un telefono Android, un PC Windows o un Mac — e il primo passo più importante richiede circa cinque minuti.
Cosa significa davvero "indovinare le password tramite IA"
Quando sente che l'IA può "decifrare" le password, ecco cosa sta succedendo davvero. I criminali si procurano elenchi di nomi utente e password da vecchie violazioni di dati — fughe da grandi siti web avvenute anni fa. Questi elenchi vengono venduti online. Un software, sempre più guidato dall'IA, prova poi automaticamente queste combinazioni su centinaia di altri siti. Questo si chiama credential stuffing.
La parte IA lo rende più veloce e più intelligente. Invece di combinazioni casuali, il software si concentra su quelle statisticamente più probabili: parole comuni, nomi, anni di nascita, schemi semplici. Impara quali tentativi hanno successo.
Il bersaglio è raramente la sua password più forte. È la sua più debole — su un sito che ha dimenticato — che ha anche usato da qualche parte dove è importante.
Il vero pericolo: le password riutilizzate
Se usa la stessa password su più di un sito, una violazione su uno qualsiasi di essi può aprire gli altri. Questa è la più grande vulnerabilità delle password che ha la maggior parte delle persone. Una password che sembra forte ma usata su cinque siti è meno sicura di una password più semplice usata solo una volta.
La pensi così: ogni sito che ha il suo indirizzo e-mail e la sua password tiene una copia della sua chiave. Se un sito perde la sua chiave e i criminali la raccolgono, la provano sulla sua banca, la sua e-mail, i suoi account governativi, le sue cartelle sanitarie.
La soluzione non sono password più difficili da ricordare. Si tratta di garantire che nessun due siti condividano una password — e il passo successivo le mostra il modo più semplice per farlo.
Passo 1: Usi un gestore di password
Un gestore di password fa una cosa: memorizza una password diversa e generata casualmente per ogni sito che usa. Ha solo bisogno di ricordare una password principale per aprire il gestore. Ogni altra password è lunga, casuale e unica — il tipo che nessun essere umano e nessuna IA può indovinare.
Il suo telefono ne ha quasi certamente uno integrato. Su un iPhone, vada in Impostazioni, poi in Password. Su un telefono Android, vada in Impostazioni, poi in Google, poi in Compilazione automatica. Entrambi sono gratuiti e funzionano automaticamente una volta abilitati. Quando visita un sito, il gestore di password compila le sue credenziali di accesso per lei.
Non ha bisogno di un'app a pagamento per iniziare. I gestori integrati su iPhone e telefoni Android sono eccellenti per la maggior parte delle persone. Inizi da lì.
Una regola: la sua password principale — quella che apre il gestore — deve essere una passphrase. Ciò significa quattro o cinque parole ordinarie messe insieme, come "cucina viola coperta tramonto". Facile da ricordare, molto difficile da indovinare per un software. Questo è anche l'orientamento più recente del NIST (l'ente statunitense di standard tecnici): le sue linee guida del 2025 raccomandano di puntare sulla lunghezza della password piuttosto che su regole di composizione complesse, e sconsigliano di dover cambiare la password a intervalli fissi se non c'è un motivo concreto per farlo.
Attenzione però: non tutte le autorità danno lo stesso consiglio. Sul suo sito rivolto ai cittadini, la Polizia Postale raccomanda ancora una password di almeno 8 caratteri con numero, lettera maiuscola e simbolo speciale, e di cambiarla ogni 90 giorni — l'approccio opposto a quello ora raccomandato dal NIST. Non le nascondiamo questa discrepanza: le due indicazioni sono in contrasto, e non è nostro compito dirle quale autorità seguire. Quello che possiamo dirle è che un gestore di password genera comunque password lunghe e casuali che soddisfano entrambi i criteri, quindi seguire il passo 1 la mette al sicuro indipendentemente da quale linea guida preferisce.
Passo 2: Provi le passkey — acceda con il suo viso o l'impronta digitale
Una passkey è un modo più recente e semplice per accedere. Invece di una password, usa l'impronta digitale, il viso o il PIN del suo telefono. Il sito web non riceve affatto una password, quindi i criminali non hanno nulla da rubare in caso di violazione.
Sempre più grandi servizi — Google, Apple, Microsoft, Amazon, PayPal — ora offrono passkey. Quando un sito chiede se vuole "salvare una passkey" o "accedere con una passkey", dica sì. È più sicuro di qualsiasi password che potrebbe digitare.
Probabilmente sta già usando una versione di questo sul suo telefono quando lo sblocca con il viso o l'impronta digitale. Le passkey portano la stessa semplicità sui siti web e le app.
Passo 3: Attivi l'autenticazione a due fattori
L'autenticazione a due fattori (spesso chiamata 2FA) significa che anche se qualcuno ottiene la sua password, non può comunque accedere senza una seconda verifica — di solito un codice inviato al suo telefono.
Esistono due tipi di 2FA e non sono ugualmente sicuri:
Codici SMS — il sito invia un codice a sei cifre tramite messaggio di testo. Questo è meglio di niente, ma i numeri di telefono possono essere compromessi dai truffatori in alcune circostanze, rendendolo l'opzione più debole.
Un'app di autenticazione — app gratuite come Google Authenticator o Microsoft Authenticator generano un nuovo codice ogni 30 secondi sul suo telefono. Anche se un truffatore ha la sua password, non può ottenere quel codice senza avere fisicamente il suo telefono in mano. Questo è molto più sicuro.
Inizi con SMS se è l'unica opzione offerta — è comunque un miglioramento significativo rispetto a nessuna 2FA. Ma per i suoi account più importanti (e-mail, banca, social media), passi a un'app di autenticazione quando può.
Passo 4: Verifichi se la sua e-mail è stata coinvolta in una violazione
Un sito chiamato Have I Been Pwned (haveibeenpwned.com) le permette di digitare il suo indirizzo e-mail e vedere quali violazioni di dati lo hanno esposto. È stato creato da un ricercatore di sicurezza ed è gratuito da usare. Il sito non chiede la sua password — solo il suo indirizzo e-mail.
Vada lì, digiti la sua e-mail e prema il pulsante di verifica. Il sito le mostrerà un elenco delle violazioni in cui è apparso il suo indirizzo e-mail. Se la sua e-mail appare in una violazione, i criminali conoscono la sua password per quel sito. La cambi immediatamente — e la cambi su qualsiasi altro sito dove ha usato la stessa password.
A cosa stare attenti
False e-mail "il suo account è stato violato". I criminali inviano e-mail che sembrano avvisi di sicurezza ufficiali: "Abbiamo rilevato un'attività insolita. Clicchi qui per proteggere il suo account." Questi sono tentativi di phishing. Non clicchi sul link. Invece, vada direttamente al sito digitando il suo indirizzo nel browser, o chiami l'azienda usando un numero dal suo sito ufficiale.
Phishing di reimpostazione password. Un truffatore attiva una vera e-mail di reimpostazione password da un servizio che usa, poi la chiama fingendo di essere del team di sicurezza dell'azienda. Le chiede di leggere loro il codice appena arrivato sul suo telefono. Non legga mai un codice di sicurezza a qualcuno che l'ha chiamata. I veri dipendenti dell'azienda non lo chiedono mai.
Pop-up falsi che imitano il suo gestore di password. Il suo vero gestore di password compila le credenziali automaticamente — non le chiede mai di ridigitare la password principale su una pagina web. Se un sito le chiede la password principale, chiuda quella scheda.
Cosa provare dopo
Le e-mail di phishing sono spesso la prima mossa che fanno i criminali prima di tentare di prendere il controllo di un account. Come riconoscere le e-mail di phishing generate dall'IA le fornisce sei controlli rapidi che rivelano messaggi falsi — anche quelli che sembrano completamente legittimi. Se si chiede anche quali informazioni personali non dovrebbe mai condividere con un chatbot di IA, Cosa non dire a un chatbot di IA copre le informazioni specifiche che potrebbero metterla a rischio.
Fonti
- NIST Special Publication 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management — National Institute of Standards and Technology (linea guida statunitense, riportata come contesto)
- Scegli una password sicura ed efficace — Polizia Postale e delle Comunicazioni
- Have I Been Pwned — Troy Hunt
- Passkeys — FIDO Alliance
- Older Adults Express High Concern and Limited Knowledge About AI Scams and Fraud — AARP Public Policy Institute
