La maggior parte dei furti di account non richiede alcuna abilità tecnica: basta una password rubata con il phishing, indovinata o riutilizzata da un altro sito violato. La buona notizia è che le contromisure sono semplici. Vediamo come creare password sicure, perché attivare l’autenticazione a due fattori e cosa sono le passkey.
Cosa rende sicura una password?
Una password è sicura quando è lunga, unica per ogni servizio e non prevedibile. Le regole sono cambiate negli ultimi anni: le linee guida del NIST, l’ente statunitense di riferimento per gli standard di sicurezza, nella versione definitiva del luglio 2025 (SP 800-63B-4) indicano che:
- la password deve avere almeno 15 caratteri quando è l’unico fattore di accesso (almeno 8 se usata insieme a un secondo fattore);
- i sistemi devono accettare password lunghe, fino ad almeno 64 caratteri;
- non bisogna imporre regole di composizione (una maiuscola, un numero, un simbolo…), che portano a password prevedibili come “Studio2026!”;
- non bisogna obbligare a cambi periodici: la password si cambia solo se c’è il sospetto che sia stata compromessa;
- le password vanno confrontate con elenchi di password già violate o troppo comuni;
- vanno permessi i password manager e il copia-incolla.
Come creare una password sicura e facile da ricordare
- Usa una frase, non una parola: quattro o cinque parole a caso, come “tegola-ciclamino-fiume-ottobre-matita”. È lunga, facile da ricordare e difficile da indovinare.
- Non usare informazioni personali: nomi, date di nascita, nome dello studio, squadra del cuore.
- Una password diversa per ogni servizio. Se un sito viene violato, i criminali provano la stessa combinazione ovunque.
- Lascia fare al password manager tutte le password che non devi digitare a memoria.
- Proteggi bene le “password madri”: quella della posta e quella del password manager. Chi controlla la tua posta può reimpostare quasi tutto il resto.
Cos’è l’autenticazione a due fattori (MFA)?
L’autenticazione a due fattori, o a più fattori (MFA), chiede una seconda prova di identità oltre alla password: un codice generato da un’app, una notifica da approvare sul telefono, una chiavetta fisica. Anche se un criminale ruba la password, senza il secondo fattore non entra.
È la misura con il miglior rapporto tra costo ed efficacia. Uno studio di Microsoft Research del 2023 ha stimato che l’MFA riduce il rischio di compromissione del 99,22% sull’intera popolazione analizzata, e del 98,56% anche quando la password era già stata rubata.
Quale secondo fattore scegliere?
| Metodo | Sicurezza | Note |
|---|---|---|
| SMS | Base | Meglio di niente, ma vulnerabile a clonazione della SIM |
| App di autenticazione (codice a 6 cifre) | Buona | Funziona anche senza rete |
| Notifica da approvare | Buona | Attenzione a non approvare richieste che non hai avviato |
| Chiavetta fisica o passkey | Molto alta | Resistente al phishing |
Dove attivarla per prima: posta elettronica, PEC (dove disponibile), gestionale in cloud, home banking, archiviazione cloud, accesso remoto allo studio tramite VPN e account amministrativi. Le credenziali rubate sono infatti una delle vie d’ingresso preferite dal ransomware.
Attenzione a una truffa diffusa: il bombardamento di notifiche. Se ricevi richieste di approvazione che non hai avviato, non approvarle e cambia subito la password: qualcuno la conosce.
Cosa sono le passkey?
Una passkey è un metodo di accesso che sostituisce la password con una coppia di chiavi crittografiche: una resta nel tuo dispositivo, l’altra sul sito. Per accedere sblocchi il telefono o il computer con impronta, volto o PIN, e il dispositivo dimostra la tua identità senza inviare nessun segreto.
I vantaggi pratici:
- non c’è niente da ricordare;
- resistono al phishing: la passkey funziona solo sul sito vero, quindi un sito falso non può ottenerla;
- non possono essere rubate in massa da un sito violato, perché il sito conserva solo la parte pubblica.
Le passkey sono uno standard promosso dalla FIDO Alliance e sono già supportate dai principali servizi e sistemi operativi. Dove disponibili, conviene attivarle.
Il password manager: serve davvero?
Sì. Nessuno può ricordare decine di password lunghe e diverse. Un password manager le genera, le conserva cifrate e le compila al posto tuo. Ha anche un vantaggio nascosto contro il phishing: non compila la password su un sito falso, perché l’indirizzo non corrisponde.
Per uno studio conviene una soluzione che permetta di condividere in modo controllato le credenziali comuni (per esempio un portale usato da più persone) senza scriverle su post-it o in un file Excel.
Regole minime per lo studio
- MFA obbligatoria su posta, cloud e accessi remoti.
- Password manager per tutti, con password madre lunga e MFA.
- Account personali, non condivisi: ognuno il suo, così il registro degli accessi ha un senso.
- Quando qualcuno lascia lo studio, disattivare subito i suoi account.
- Nessuna password inviata via email o chat.
Le password proteggono gli account; la rete va protetta a parte, con un firewall che sorveglia e avvisa. Una rete che si accorge dei tentativi ripetuti di accesso, per esempio cento password provate in un’ora sulla VPN, e avvisa il titolare con un’azione pronta da approvare è uno dei compiti di Strega Defence. Per il quadro completo, prova la checklist in 10 domande.
Domande frequenti
Ogni quanto bisogna cambiare la password?
Secondo le linee guida NIST aggiornate nel 2025, non serve cambiarla a scadenza fissa: va cambiata quando c’è il sospetto o la prova che sia stata compromessa, per esempio dopo un phishing o la violazione di un sito su cui era usata.
Meglio una password complessa o una password lunga?
Una password lunga. Una frase di quattro o cinque parole casuali è più robusta e più facile da ricordare di una parola breve piena di simboli. La lunghezza conta più della complessità.
L’autenticazione a due fattori via SMS è sicura?
È molto meglio della sola password, ma è il metodo meno robusto, perché il numero di telefono può essere dirottato. Quando possibile, preferisci un’app di autenticazione, una chiavetta fisica o le passkey.
Il password manager è sicuro? E se viene violato?
Un buon password manager conserva i dati cifrati con una chiave che deriva dalla tua password principale, che il fornitore non conosce. Il rischio residuo si riduce usando una password principale lunga e unica e attivando l’autenticazione a due fattori sul password manager stesso.
Le passkey funzionano se perdo il telefono?
Sì, nella maggior parte dei casi, perché le passkey possono essere sincronizzate in modo cifrato tra i tuoi dispositivi tramite l’account del sistema operativo o del password manager. Conviene comunque prevedere un secondo metodo di accesso o codici di recupero conservati in un luogo sicuro.
Fonti e approfondimenti
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management — NIST, luglio 2025.
- Testo completo SP 800-63B — NIST.
- How effective is multifactor authentication at deterring cyberattacks? — Microsoft Research, 2023.
- Passkeys — FIDO Alliance.
- Consigli utili per i dipendenti delle PMI (PDF) — Agenzia per la Cybersicurezza Nazionale.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
