Come creare una password sicura ed efficace: guida 2024

Ogni giorno usiamo servizi online di ogni tipo, che per l’iscrizione e l’accesso richiedono all’utente l’inserimento di password e altri dati sensibili.

Tutte le “chiavi personali" utilizzate online dovrebbero essere scelte e conservate con la massima cura, per evitare che vengano facilmente indovinate o rubate da cybercriminali.

In questa guida spiegheremo quali sono le tecniche più utilizzate dagli hacker per rubare le password, in modo da aumentare il livello di consapevolezza degli utenti, ma soprattutto cercheremo di capire come creare una password sicura e come fare per non dimenticare quelle più complesse.

Come fanno gli hacker a rubare le password?

Gli hacker utilizzano varie tecniche per rubare le password degli utenti, alcune delle quali sfruttano tecniche di ingegneria sociale per ingannare gli utenti (che pensano di trovarsi davanti a un sito legittimo).

Possono però usare anche malware, attacchi informatici mirati, pagine modificate a livello server o attacchi ai server password gestiti da servizi poco attenti alla sicurezza informatica.

Vediamo quali sono le più comuni, in modo da capire quali comportamenti andrebbero sempre evitati.

Tecniche hacker per rubare password

Per prevenire meglio gli attacchi hacker può essere utile conoscere più a fondo il modo in cui questi colpiscono i dispositivi fissi e mobile.

Le tecniche più utilizzate dagli hacker (e purtroppo anche più efficaci) per il furto delle password sono principalmente:

• Phishing: l’utente riceve email o SMS falsi da parte di qualcuno che si spaccia per la banca o per il servizio di supporto di un servizio online. Solitamente i toni sono molto allarmistici e il messaggio fa riferimento a un problema grave che dovrà essere risolto tempestivamente (es.: account sospeso o bloccato, transazione sospetta in corso, ecc). In questo modo si spinge l’utente a cliccare su un link (che riporterà a una pagina di accesso fasulla, spesso molto simile a quella originale) e a inserire le credenziali di accesso o i dati di pagamento, che verranno poi rubati.
• Keylogger: altra tecnica molto usata per il furto di password, ma che richiede determinate condizioni per essere davvero efficace (sistema operativo non aggiornato, crack di programmi premium, antivirus poco efficace, ecc.). Il keylogger è un malware che si installa sul PC e che memorizza ogni tasto premuto sulla tastiera, così che l’hacker possa recuperare password e altri dati sensibili digitati dall’utente.
• Man-in-the-middle: tecnica molto avanzata, difficile da identificare e da contrastare una volta messa in atto. L’hacker si posiziona in ascolto su una rete Wi-Fi pubblica e, non appena identifica una potenziale vittima, intercetta il traffico dati dal dispositivo al sito legittimo, mostrando delle pagine di login fasulle (anche in questo caso del tutto simili alle pagine originali). L’utente si ritrova quindi con la password rubata senza rendersene conto.
• Attacco a dizionario: in questo caso l’hacker non deve nemmeno interagire troppo con l’utente, visto che proverà a forzare la password utilizzando metodi di hacking basati sull’attacco a dizionario. In questo scenario l’hacker deve solo recuperare il nome utente della vittima e “provare a indovinare" la password d’accesso, inserendo tutte le password più comuni custodite all’interno di un grande dizionario. Per questo motivo è bene non usare mai password troppo semplici (combinazioni di numeri facilmente indovinabili, nomi comuni, ecc) e impostare sempre delle chiavi di sicurezza complesse, per ridurre le possibilità di successo dell’attacco a dizionario.
• Attacco a forza bruta: questo è l’attacco più potente che può portare a compimento un hacker e su cui l’utente può poco o nulla. Il malintenzionato attacca direttamente il server che custodisce le password d’accesso al servizio, sfruttando vulnerabilità note o malware per agevolare l’accesso. Una volta dentro ruberà tutte le password degli utenti iscritti a un servizio, rivendendole per denaro sul dark web. In questo caso l’utente non può salvarsi dall’accesso non autorizzato, anche se aveva scelto una password robusta; per salvarsi deve utilizzare un servizio di monitoraggio attivo che controlli periodicamente il dark web alla ricerca di file in cui è presente una delle nostre password compromesse.

Come è possibile constatare, nella maggior parte dei casi il furto di password dipende dalle abitudini dell’utente, dal livello di attenzione durante la lettura dei messaggi che riceve quotidianamente e dalla cura che ci mette nella creazione e gestione delle password personali.

In altri casi particolari, invece, anche l’utente più esperto e meticoloso può diventare vittima di un furto di password, considerato che anche i servizi online hanno delle responsabilità (come nel caso di attacchi a forza bruta ai server d’accesso vulnerabili).

Per prevenire entrambi gli scenari è necessario informarsi il più possibile e affiancare al classico antivirus anche uno dei migliori password manager in circolazione, in modo da ridurre notevolmente il rischio di subire un furto di password e altri dati sensibili.

Come creare una password sicura

Creare una password forte e sicura richiede alcuni semplici accorgimenti che, se applicati ogni volta che ci si iscrive a un nuovo servizio, potranno essere di grande aiuto in ottica di prevenzione.

Come fare per impostare una password complessa che sia quindi realmente sicura?

Ogni volta che un servizio chiederà di creare una password, sarà necessario:

• Usare i numeri: non è sufficiente usare solo le lettere per comporre una password che sia davvero sicura. Per creare una password forte bisogna usare almeno un carattere numerico. Una buona soluzione consiste nell’usare dei numeri che richiamano le forme delle vocali presenti all’interno delle parole (es.: 3 al posto di E, oppure 0 (zero) al posto di O); in alternativa si possono aggiungere dei numeri nella parte iniziale o finale della password (possibilmente non associati a date di nascita, numeri civici, telefonici, ecc).
• Inserire maiuscole e minuscole: utilizzare sia lettere maiuscole che minuscole nella password è un’ottima abitudine per aumentare il livello di sicurezza della stessa. Anche in questo caso è bene evitare maiuscole in posizioni prevedibili (es.: all’inizio di un nome di persona o di città), inserendole in modi più creativi.
• Creare password lunghe: per complicare la vita all’hacker è bene creare password che abbiano almeno 12 caratteri. Maggiore è la lunghezza della chiave di sicurezza, minore sarà la probabilità che questa venga rubata. Per questo è consigliabile sfruttare tutti i caratteri messi a disposizione dal servizio web in questione (la maggior parte dei siti accetta ormai password fino 24 o 36 caratteri).
• Sfruttare i caratteri speciali: le password più sicure sono quelle che includono anche i caratteri speciali (es.: @, &, %, $, #). Per un elevato grado di sicurezza sarà quindi necessario inserirne almeno uno.

Data la lunghezza e la varietà dei caratteri da utilizzare per creare una password sicura ed efficace, sarà molto difficile riuscire a ricordare tutte le password di tutti i servizi ai quali si è iscritti. Inoltre, se si cede alla tentazione di usare la stessa password per ogni servizio (oppure una password molto simile alle altre, magari con piccolissime variazioni), ogni accorgimento descritto finora sarà completamente vano.

Diventa quindi fondamentale utilizzare un password manager affidabile come NordPass per esempio, che le memorizzi al posto nostro e le renda immediatamente accessibili quando necessarie.

In questo modo, infatti, basterà ricordare una sola password (la cosiddetta “master password") per accedere all’archivio cifrato e conservare le password in totale sicurezza.

Esempi di password sicure

Delle password sicure, come detto, devono necessariamente essere lunghe e includere caratteri diversi dalle classiche lettere minuscole. Bisogna quindi essere fantasiosi il più possibile e sforzarsi di creare delle password realmente efficaci e non facilmente indovinabili.

Per velocizzare questo passaggio in fase di creazione di un nuovo account (o di aggiornamento di password attuali poco sicure) consigliamo di sfruttare le potenzialità di un buon password manager, che il più delle volte include infatti anche un generatore di password casuali.

Per fornire un’idea più chiara su come fare, ecco alcuni esempi di password molto semplici “convertite" in password difficili da indovinare:

• “password": la regina delle password insicure, la più usata al mondo; se proprio vogliamo renderla difficile possiamo trasformarla in XXP@$$W0rD@XX, aggiungendoci dei numeri (al posto delle X) per renderla molto più complessa e difficile da indovinare
• “user": altra password troppo semplice e generica che possiamo trasformare in una password robusta come U$3r@XXXXXXX, usando molti numeri per renderla sufficientemente lunga
• “123456": cosa si può dire di questa password? L’unico modo per renderla più sicura è aggiungerci lettere e caratteri speciali (non prevedibili, quindi assolutamente da escludere soluzioni come “1a2b3c4d", per esempio), trasformandola in qualcosa tipo 12E@56$XXXXX.

Questi sono solo alcuni degli esempi di come possiamo trasformare anche password molto semplici da ricordare in password sicure e difficili da indovinare con attacchi a dizionario.

Come non dimenticare una password: i migliori password manager

Come visto nei capitoli precedenti per poter generare delle password sicure è raccomandabile usare un password manager, così da conservare agevolmente quelle più complesse e generare automaticamente nuove password sicure con un semplice clic o tocco sullo schermo.

NordPass

💻  Sistemi Operativi:	Windows, Mac, Android, iOS, Linux
🖥️ Estensioni browser:	Chrome, Firefox, Edge, Opera, Safari
🗝️ Crittografia:	XChaCha20
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	da 1,49 €/mese

Per gestire al meglio le nuove password sicure possiamo utilizzare NordPass, gestito dalla società che fornisce anche una delle migliori VPN sul mercato, ossia NordVPN.

Con NordPass è possibile conservare le password per qualsiasi sito e creare rapidamente delle password sicure ed efficaci.

Il servizio offre infatti la compilazione automatica dal browser e da app mobile, l’accesso automatico ai servizi più usati, un sistema di importazione veloce delle password, un generatore automatico di password complesse, la verifica della sicurezza delle password usate e dell’eventuale violazione degli account personali (tramite monitoraggio del dark web) e autenticazione a due fattori.

	Prezzo:
NordPass Premium	1,49 €/mese
NordPass Famiglia	2,79 €/mese
NordPass Business	2,56 €/mese
NordPass Impresa	prezzo personalizzato

NordPass può essere usato gratuitamente per il salvataggio e compilazione automatici; per sbloccare tutte le funzioni premium è invece necessario sottoscrivere un abbonamento a pagamento.

 

pCloud Pass

💻 Sistemi Operativi:	Windows, Mac, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Edge, Brave
🗝️ Crittografia:	AES-256
🔐 Autenticazione a 2 fattori:	❌
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	da 29 €/anno

Per creare password forti per ogni account e conservarle in maniera sicura si può utilizzare pCloud Pass, uno dei password manager più interessanti e offerto da pCloud, tra i servizi di cloud storage più noti e affidabili.

Con pCloud Pass è possibile generare password sicure e casuali durante l’iscrizione a un nuovo sito, utilizzando la schermata dedicata alla generazione delle password (dove possiamo modificare i parametri per la generazione della password).

Oltre all’efficiente generatore di password è possibile beneficiare di estensioni compatibili con tutti i browser web, approccio zero-knowledge per proteggere la privacy, sistema di importazione semplice di password da altri servizi, compilazione automatica dei moduli presenti sui siti, salvataggio dei dati relativi alle carte di pagamento, sistema di recupero password sicuro, sblocco con riconoscimento biometrico e sistema di ricerca pratico e veloce.

	Prezzo:
pCloud Pass Premium	29 €/anno
pCloud Pass Premium Lifetime	149 € (una tantum)

Le funzionalità di pCloud Pass possono essere provate gratuitamente con alcune limitazioni; per usarlo su tutti i dispositivi, invece, sarà necessario sottoscrivere un piano a pagamento.

A questo proposito suggeriamo la soluzione “Lifetime", che consente di pagare una sola volta e usufruire di questo valido strumento per sempre, quindi senza alcuna scadenza o rinnovo.

 

RoboForm

💻  Sistemi Operativi:	Windows, Mac, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Edge, Safari, Opera
🗝️ Crittografia:	AES-256
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	da 23,88 €/anno

RoboForm è uno strumento piuttosto semplice da usare, indicato soprattutto per chi cerca un password manager che non sia complicato.

Utilizzando RoboForm è possibile generare una password sicura e complessa con pochi clic, sfruttando l’estensione compatibile con i vari web browser oppure l’app per smartphone.

Oltre al generatore di password automatico è possibile beneficiare di accesso rapido, accesso da qualsiasi dispositivo e anche senza connessione Internet, sistema di ricerca password evoluto, centro di sicurezza delle password, crittografia forte e autenticazione a due fattori.

Il piano gratuito di RoboForm permette di salvare un numero di password illimitate, ma su un solo dispositivo; chi desidera sbloccare tutte le funzioni su qualsiasi device può invece sottoscrivere un piano a pagamento.

 

Norton Password Manager

💻 Sistemi Operativi:	Windows, Mac, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Edge
🗝️ Crittografia:	AES-256
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	gratis

Alcuni tra i migliori antivirus oggi includono anche delle funzionalità di gestione password; è il caso di Norton, che include il suo Norton Password Manager all’interno di diverse suite di sicurezza, come Norton 360 Deluxe, per esempio.

Questo gestore di password viene fornito anche gratuitamente (quindi senza necessità di sottoscrivere un abbonamento) e permette di salvare le password di qualsiasi sito web, sincronizzarle su qualsiasi dispositivo e proteggerle grazie alla sua crittografia forte (256-bit AES); inoltre, fornisce una dashboard di sicurezza, dove vengono mostrate le password insicure o vulnerabili.

Per essere totalmente gratuito è un ottimo gestore, vista anche la compatibilità con i browser più usati e qualsiasi sistema operativo mobile; mancano ovviamente le funzioni di sicurezza e gestione viste sui password manager a pagamento, cosa che limita gli scenari in cui è possibile utilizzarlo.

 

Kaspersky Password Manager

💻 Sistemi Operativi:	Windows, Mac, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Edge, Safari
🗝️ Crittografia:	AES-256
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	13,99 €/anno

Anche Kaspersky, famosa azienda di sicurezza informatica, fornisce il suo gestore password personale.

Con Kaspersky Password Manager otterremo un protocollo di cifratura estremamente efficace, principio zero-knowledge per la conservazione delle password, accesso tramite riconoscimento biometrico (impronte digitali e Face ID), generatore di password efficiente, controllo delle password salvate e rilevamento delle divulgazioni (così da poter sapere per tempo se qualche password è stata violata).

Kaspersky Password Manager è disponibile in abbonamento per un singolo account utente (si può però installare l’estensione o l’app su qualsiasi browser o dispositivo personale).

 

Dashlane

💻 Sistemi Operativi:	Windows, Mac, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Edge, Safari, Opera
🗝️ Crittografia:	AES-256
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	3,49 €/mese

Tra i servizi più sicuri e affidabili per gestire e generare password sicure troviamo Dashlane, azienda che fa della sicurezza informatica alla portata di tutti il suo cavallo di battaglia.

Con Dashlane è possibile usufruire di un generatore di password personalizzabile, crittografia di livello militare, accesso automatico ai siti più utilizzati, salvataggio dedicato dei dati finanziari, medici e personali, monitoraggio del dark web, segnalazione di password già usate oppure troppo deboli, compilazione automatica dei moduli e condivisione sicura delle password.

	Prezzo:
Dashlane Advanced	3,49 €/mese
Dashlane Premium	5,49 €/mese
Dashlane Friends&Family	7,99 €/mese
Dashlane Starter	2 €/mese
Dashlane Team	5 €/mese
Dashlane Aziendale	8 €/mese

La versione gratuita di Dashlane permette di salvare un numero illimitato di password, ma su un singolo dispositivo; per salvare le password su tutti i dispositivi personali bisogna invece sottoscrivere un abbonamento tra quelli proposti (sia per utenza privata che business).

 

1Password

💻 Sistemi Operativi:	Windows, Mac, Linux, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Safari, Edge, Opera
🗝️ Crittografia:	AES-256
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	❌
🛒 Prezzo:	da 2,99 $/mese

Tra i password manager più conosciuti e facili da usare troviamo anche 1Password, che nel tempo è riuscito a crearsi una certa reputazione.

1Password presenta un sistema di valutazione delle password già usate, generatore di password casuali e sicure molto efficiente, dashboard dedicata alla violazione degli account e agli avvisi sulle password compromesse e Secret Key, che cifra l’archivio su ogni dispositivo, rendendolo invisibile e impossibile da violare sui server e sugli altri dispositivi (in assenza di password o sblocco biometrico).

	Prezzo:
1Password	2,99 $/mese
1Password Families	4,99 $/mese
1Password Business	7,99 $/mese
1Password Teams	19,95 $/mese
1Password Enterprise	prezzo personalizzato

1Password non offre piani o account gratuiti ma si può testare gratis per un periodo di prova; al termine di quest’ultimo sarà necessario sottoscrivere un abbonamento.

 

Keeper

💻 Sistemi Operativi:	Windows, Mac, Linux, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Edge, Safari, Opera
🗝️ Crittografia:	AES-256
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	da 3,56 €/mese

Per la gestione delle password sicure (soprattutto in azienda) è possibile affidarsi a un servizio pensato per il business come Keeper.

Con Keeper è possibile ottenere una dashboard di gestione delle password aziendali, un sistema di condivisione sicura (revocabile anche a distanza), un gestore dei permessi e delle password per ogni sezione o dipartimento dell’azienda, Keeper Secrets Manager per la sicurezza zero-trust e zero-knowledge, accesso remoto all’infrastruttura e generatore di password integrato nelle postazioni.

	Prezzo:
Keeper Personale	3,56 €/mese
Keeper Famiglia	7,62 €/mese
Keeper Business Starter	2 €/mese
Keeper Aziendale	3,75 €/mese
Keeper Enterprise	prezzo personalizzato

Per gli utenti business il prezzo dell’abbonamento è da intendere per singolo utente. E’ disponibile anche una versione gratuita, che presenta però diverse limitazioni.

 

KeePass

💻 Sistemi Operativi:	Windows, Mac, Linux, Android, iOS
🖥️ Estensioni browser:	Chrome, Firefox, Safari, Edge, Opera
🗝️ Crittografia:	Twofish, AES-256, ChaCha20
🔐 Autenticazione a 2 fattori:	✔️
📃 Compilazione automatica moduli:	✔️
🆓 Versione Free:	✔️
🛒 Prezzo:	gratis

Chi desidera un gestore password gratuito e con archivio salvato in locale può utilizzare KeePass.

Con KeePass è possibile salvare tutte le password, proteggerle con una master password e beneficiare anche di un ottimo generatore di password ampiamente personalizzabile, con cui generare password sicure per tutti i nostri account.

Trattandosi di un’app locale non beneficia dei vantaggi visti sui password manager online: per sincronizzare l’archivio si dovrà infatti caricare il file archivio su un servizio cloud e solo successivamente utilizzare uno dei porting di Keepass (per Android o iOS) per accedere alle password sincronizzate.

Con quale frequenza si devono cambiare le password?

Scegliere una password sicura, forte e generata casualmente è sempre la cosa migliore da fare, ma non significa che debba essere immutabile. Al contrario, è bene programmare degli aggiornamenti regolari di password, per evitare che anche quelle più sicure diventino vulnerabili col tempo.

Per aumentare sensibilmente la sicurezza di ogni account online consigliamo quindi di cambiare password ogni 6 mesi, almeno per gli account più importanti, come quelli legati ai conti bancari o postali, ma anche account di e-commerce e altri siti tramite i quali si effettuano pagamenti, come Amazon, PayPal e simili.

Per sostituire le vecchie password con delle nuove che siano complesse e sicure, la soluzione più pratica è l’uso di un password manager. I migliori strumenti di questo tipo mettono a disposizione ottimi generatori di password casuali integrati direttamente nelle app o nelle estensioni web.

Conclusioni

Le password sono le nostre personali chiavi di accesso ai servizi online e, esattamente come accade per le chiavi di casa, è il caso di conservarle con estrema cura per evitare di dover avere a che fare con furti, truffe e molto altro.

Altro aspetto da non sottovalutare è la natura stessa della chiave: una password lunga e generata con caratteri speciali casuali è notevolmente più sicura di una password semplice da ricordare.

Per evitare di dimenticare le password complesse e doverle reimpostare ogni volta, consigliamo di utilizzare uno dei migliori password manager visti in questa guida. Come abbiamo potuto notare, esistono anche delle alternative gratuite, ma in questo caso si avranno diverse limitazioni, che è il caso di considerare se si hanno delle necessità specifiche in fatto di sicurezza.

Utilizzare password sicure eviterà diversi attacchi informatici più semplici, ma bisognerà comunque fare la massima attenzione e riconoscere i vari tentativi di phishing, per esempio. Un ottimo strumento di gestione password sarà di grande aiuto in questo senso, ma è sempre bene evitare di commettere errori dovuti a leggerezza o semplice distrazione.

Domande frequenti su come creare una password sicura

Che cosa è la password?

La password è una chiave di accesso per i servizi online, necessaria per confermare la nostra identità. La password è l’elemento più importante da ricordare per un account online insieme allo username; entrambi gli elementi sono infatti presi spesso di mira dagli hacker per violare sistemi, rubare soldi e per effettuare furti di ogni tipo.

Come deve essere fatta una password sicura?

Una password sicura è composta da almeno 12 caratteri, presenta lettere maiuscole e minuscole, numeri e caratteri speciali. Si può partire da una password facile da ricordare e renderla complessa e sicura, ma nella maggior parte dei casi conviene sempre affidarsi a un password manager che include un generatore di password casuali.

Quali sono le password meno sicure?

Le password meno sicure sono quelle più semplici da indovinare (come 12345, 11111, 0000, querty e simili), insieme a quelle facilmente riconducibili all’utente (nome proprio, data di nascita, indirizzo, numero di telefono, ecc).

Cosa vuol dire password compromesse?

Le password compromesse sono le password recuperate dagli hacker direttamente sui server del servizio online.

Per evitare che le password siano compromesse è necessario utilizzare un gestore di password con monitoraggio del dark web, così da ricevere un avviso tempestivo nel caso in cui i propri dati vi compaiano e provvedere a un cambio di password repentino.

Come verificare se le tue password sono state compromesse?

Per verificare se le password sono state compromesse è necessario sfruttare un password manager che includa una funzione di monitoraggio del dark web.

Uno strumento di questo tipo è infatti molto utile per sapere quali account hanno subito una violazione e per cambiare immediatamente le password compromesse con delle nuove generate direttamente dal gestore password.