Le cifre dell’indagine commissionata da Facile.it a mUp Research sono difficili da ignorare e lanciano un allarme che non deve essere sottovalutato. Sia dal punto di vista degli utenti che da quello delle imprese. Nell’arco degli ultimi dodici mesi, 8,7 milioni di italiani hanno subito almeno una violazione informatica legata ai propri account o dispositivi digitali. Un numero che non riguarda soltanto i grandi gruppi industriali o le infrastrutture critiche, ma colpisce professionisti, piccole imprese e cittadini comuni con una frequenza che i dati rendono ormai sistematica.
La distribuzione degli episodi dice qualcosa di preciso sulla natura del problema. Il caso più ricorrente è l’accesso non autorizzato ai profili social, con circa 5 milioni di persone coinvolte. Seguono le intrusioni nei conti bancari online, che hanno interessato circa 1,8 milioni di utenti, e le compromissioni degli smartphone, segnalate da quasi 890 mila persone. La superficie esposta è dunque capillare e tocca strumenti che usiamo ogni giorno, dal telefono in tasca all’home banking aperto sul browser del mattino. Quello che accomuna la maggior parte di questi episodi, però, non è la sofisticazione degli attacchi, ma la debolezza delle abitudini digitali di chi li ha subiti.
Circa 4,6 milioni di italiani dichiarano di usare la stessa password per accedere a più servizi online, aprendo la porta a una delle tecniche più diffuse nel panorama della criminalità informatica contemporanea costituita dal credential stuffing.
Password che diventano un passepartout per i criminali, cosa è il credential stuffing
Il credential stuffing funziona in modo semplice e per questo è efficace su scala industriale. Quando una piattaforma subisce una violazione e le credenziali vengono sottratte, i cybercriminali le testano automaticamente su altri servizi come posta elettronica, social network, conti bancari, piattaforme di e-commerce. Chi usa la stessa password ovunque offre di fatto un passepartout. I dati raccolti dall’indagine mostrano che il problema va ben oltre la riutilizzazione delle credenziali: circa 2,7 milioni di italiani si affidano a sequenze numeriche progressive come “1234”, altri 2,3 milioni scelgono la propria data di nascita, un milione e mezzo inserisce il nome del partner o dei figli. E poi ci sono i casi che sembrano appartenere a un’altra epoca ma che evidentemente resistono: 935 mila persone usano ancora la parola “password”, 850 mila scelgono il nome del sito a cui accedono, 380 mila si affidano alla sequenza “QWERTY”. Credenziali che uno strumento di attacco automatizzato individua in pochi secondi, rendendo inutile qualsiasi altra misura di protezione adottata a monte.
Gli investimenti delle organizzazioni in sicurezza informatica sono cresciuti in modo rilevante negli ultimi anni, con firewall più sofisticati, sistemi di monitoraggio continuo e strumenti basati sull’intelligenza artificiale per il rilevamento delle anomalie. Il perimetro tecnologico si è fatto più robusto, ma una credenziale debole o riutilizzata può aggirarlo in pochi secondi.
Cosa chiede la NIS2 alle organizzazioni sul fattore umano
Il quadro normativo europeo ha già recepito questa consapevolezza. La direttiva NIS2, che amplia significativamente il perimetro dei soggetti obbligati ad adottare misure di sicurezza adeguate, include tra i requisiti la gestione del rischio legato al comportamento umano. Le organizzazioni che rientrano nel suo campo di applicazione sono chiamate non solo a proteggere le proprie infrastrutture tecnologiche, ma anche a formare il personale e a definire procedure chiare per la gestione delle credenziali e l’accesso ai sistemi. La formazione, in questo schema, smette di essere una voce accessoria del budget e diventa parte integrante della strategia di compliance.
I numeri dell’indagine mostrano quanto il divario tra ciò che la norma richiede e ciò che accade nella pratica quotidiana sia ancora ampio.
Le raccomandazioni degli esperti restano le stesse da anni: password lunghe e uniche per ogni servizio, autenticazione a due fattori attivata sugli account sensibili, uso di un password manager per generare e conservare credenziali complesse, aggiornamento regolare di software e dispositivi, attenzione costante ai tentativi di phishing via email o SMS. Strumenti accessibili, spesso gratuiti, che richiedono più una scelta consapevole che un investimento economico. La ricerca di Facile.it e mUp Research dimostra che questa scelta, per milioni di italiani, non è ancora stata fatta.
Per chi gestisce un’organizzazione, piccola o grande, dunque, diventano rilevante per la sicurezza del perimetro aziendale anche le abitudini individuali di chi lavora al suo interno, e nessun sistema di protezione tecnologica può compensare una credenziale compromessa dall’interno.
