Le password non bastano più: l’allarme nel Password Day 2026 tra AI e hacker
In occasione della Giornata mondiale della password 2026, cresce l’allarme sulla sicurezza: anche le password complesse possono essere violate da AI, malware e reti criminali online. Ecco perché e quali alternative adottare
Il panorama delle minacce informatiche si è trasformato in pochi anni in una vera e propria economia industrializzata del Cybercrime-as-a-Service (CaaS), oggi ulteriormente potenziata dall’intelligenza artificiale generativa. In questo contesto, il tradizionale consiglio di utilizzare password complesse con numeri e simboli appare ormai superato: anche una chiave di accesso lunga 16 caratteri può risultare inefficace se un malware di tipo infostealer riesce a estrarla direttamente dalla cache del browser, oppure se viene inconsapevolmente condivisa dall’utente in strumenti di AI non controllati. Per comprendere davvero il moderno ecosistema del furto di identità è necessario andare oltre la semplice schermata di login e osservare da vicino la relazione sempre più stretta tra dark web, Telegram e tecnologie basate sull’AI.
Guglielmo Sbano
“Il mercato sommerso ha subito un massiccio cambiamento di piattaforma - ha affermato David Gubiani di Check Point Software Technologies - i tradizionali forum del Dark Web vengono ora utilizzati principalmente per stabilire la credibilità dei venditori, mentre gli acquirenti vengono rapidamente indirizzati verso canali Telegram privati e bot automatizzati per transazioni immediate. Questo cambiamento ha accelerato la velocità con cui i dati rubati vengono monetizzati”.
Da un lato, l’eccesso di account compromessi nel settore intrattenimento e social ha fatto crollare i prezzi, con profili Facebook venduti a circa 45 dollari e account Gmail tra i 60 e i 65 dollari; dall’altro, nel comparto finanziario e aziendale i valori salgono sensibilmente, con carte di credito vendute tra i 10 e i 40 dollari ma accessi verificati a conti bancari o wallet di criptovalute che possono superare i 1.000 dollari. Ancora più redditizio è il mercato degli Initial Access Brokers, che vendono accessi diretti a reti aziendali tramite VPN o RDP: secondo Rapid7, il prezzo medio parte da circa 2.700 dollari e può superare i 113.000 dollari per credenziali con privilegi amministrativi elevati.
L'epidemia delle password
L'efficacia di questi database rubati dipende interamente dalla psicologia umana. Nonostante anni di avvertimenti, gli utenti continuano a riutilizzare le password, sostengono gli esperti di Check Point, e il 94% delle password viene riutilizzato su due o più account. I dati del Data Breach Investigations Report 2025 di Verizon mostrano che solo il 3% delle password soddisfa i requisiti di complessità; così, quando una piattaforma viene violata, gli attacchi automatizzati sbloccano istantaneamente i profili utente su centinaia di altri servizi.
La minaccia legata al fattore umano
Questo aspetto non riguarda solo il riutilizzo delle password. Si assiste a una moltitudine di dipendenti che inavvertitamente inseriscono informazioni sensibili aziendali direttamente negli strumenti di IA. Secondo il LayerX Browser Security Report 2025, il copia-incolla nei browser ha superato i trasferimenti di file come principale vettore di esfiltrazione dei dati aziendali. Un enorme 45% dei dipendenti utilizza attivamente strumenti di IA, e il 77% di questi utenti incolla i dati direttamente nei prompt dell'IA, il che è pericoloso. Secondo Check Point Research, nel mese di marzo 2026, 1 su 28 prompt GenAI inviati da ambienti aziendali presentava un alto rischio di fuga di dati sensibili, con un impatto sul 91% delle organizzazioni che utilizzano regolarmente strumenti GenAI. Quando questi strumenti di IA vengono compromessi, la società di intelligence sulle minacce Group-IB ha riferito che almeno 225.000 set di credenziali OpenAI/ChatGPT sono stati messi in vendita sul dark web dopo essere stati raccolti da infostealer.
Guglielmo Sbano
I suggerimenti degli esperti
Secondo Check Point, per contrastare un ecosistema di minacce sempre più evoluto è necessario adottare un approccio multilivello che superi definitivamente il concetto tradizionale di password. La prima linea di difesa passa dall’adozione di soluzioni passwordless basate su standard come FIDO2, che eliminano alla radice il rischio di phishing e furto di credenziali, rendendo inutilizzabili eventuali dati intercettati dagli attaccanti. Parallelamente, diventa fondamentale implementare un modello Zero Trust incentrato sull’identità, in cui ogni tentativo di accesso viene verificato con rigore attraverso l’integrazione tra sistemi di Endpoint Detection and Response (EDR) e Identity Threat Detection and Response (ITDR), così da individuare anomalie comportamentali sia sui dispositivi sia sugli account. Un ulteriore punto critico riguarda il browser, sempre più spesso utilizzato come vettore di attacco, soprattutto in combinazione con strumenti di intelligenza artificiale: per questo le aziende dovrebbero adottare browser aziendali o estensioni di sicurezza capaci di monitorare e bloccare la condivisione non autorizzata di dati sensibili. Infine, in un contesto in cui la vendita di credenziali avviene in tempo reale su canali sempre più accessibili, è indispensabile attivare un monitoraggio continuo del dark web e di piattaforme come Telegram, anticipando le minacce e individuando eventuali dati compromessi prima che vengano sfruttati dagli attori malevoli o immessi nei circuiti del cybercrime organizzato.
