La tua password è da qualche parte . 16 miliardi di credenziali esposte in una sola fuga. La domanda non è più «sarò colpito?» ma «quanti account cadranno insieme?» Abbiamo tutti lo stesso riflesso: una password «abbastanza forte», riutilizzata ovunque, perché ricordarne quaranta è impossibile. Gli attaccanti contano proprio su questo. Oggi non sono più dei geni che «cracciano» la tua password: sono bot che riutilizzano credenziali già rubate altrove. Ecco perché la password memorizzata ha raggiunto il limite — illustrato con casi reali e recenti — e cosa cambia concretamente un gestore di password. 16 mld di credenziali esposte in una compilazione scoperta a giugno 2025 6 167 violazioni di dati registrate dalla CNIL nel 2025, +10% rispetto all'anno precedente 88% degli attacchi web sfruttano credenziali rubate (Verizon 2025) Il pericolo non è una password debole. È una password riutilizzata. A giugno 2025, i ricercatori di Cybernews hanno scoperto una compilazione di 16 miliardi di credenziali aggregate da una trentina di database diversi, colpendo account Google, Apple, VPN e persino siti governativi. Il dettaglio più allarmante : non si trattava di vecchie fughe riciclate, ma di dati freschi e immediatamente sfruttabili, inclusi cookie e token di sessione. E questo volume non è un'eccezione. Il rapporto CNIL 2025 elenca 6 167 violazioni di dati , in aumento del 10% rispetto all'anno precedente. Statisticamente, alcune delle vostre credenziali circolano già. Finché una password resta unica per un solo servizio, una fuga resta un incidente isolato. Riutilizzata su dieci siti, diventa una chiave universale. Credential stuffing — come una fuga ne scatena altre dieci Dal lato dell'attaccante, il principio è disarmantemente semplice. Una password rubata sul sito A viene riutilizzata automaticamente da bot su centinaia di altri servizi: banca, email, social network, e-commerce. Come indica la CNIL : una chiave che apre tutte le porte. Secondo il rapporto Verizon 2025, credenziali rubate o forzate sono coinvolte nell' 88% degli attacchi web . Per i difensori, è l'attacco con il miglior rapporto sforzo/guadagno che esista: nessuna vulnerabilità da trovare, nessun exploit sofisticato. Si affitta una lista a basso costo, si lanciano bot da migliaia di IP, e una piccola percentuale di successo su milioni di account basta a rendere l'operazione redditizia. 14 000 account violati → 6,9 milioni esposti Tra aprile e settembre 2023, gli attaccanti hanno accesso a circa 14 000 account tramite credential stuffing. Attraverso le funzioni di condivisione dati, hanno raggiunto 5,5 milioni di profili aggiuntivi e 1,4 milioni di alberi genealogici. Risultato: un accordo da 30 M$ e protezione fallimentare nel 2025. Dati sensibili sifonati in 3 giorni A dicembre 2022, PayPal ha subito un massiccio attacco di credential stuffing. Nomi completi, numeri fiscali e di previdenza sociale, dati delle carte sono stati esposti — non per una falla di PayPal, ma perché le credenziali riutilizzate dei clienti erano già trapelate altrove. Trasporto pubblico parigino nel mirino Un attacco di credential stuffing con credenziali rubate ha ottenuto fraudolentemente l'accesso agli account utente dell'operatore di trasporto parigino — un promemoria locale e recente che nessuno è fuori portata. Il mito della «password complessa» Un rapporto che analizza oltre un miliardo di password rubate da malware lo conferma: molte superavano i requisiti normativi di lunghezza e complessità. Di fronte a un infostealer che legge la password in chiaro sul dispositivo, la complessità non protegge nulla. Ciò che conta è l'unicità e un secondo fattore. Memorizzare è il problema. Delegare è la soluzione. La causa alla radice non è tecnica, è umana: un cervello non può generare e ricordare 40 password uniche e casuali. Quindi riutilizziamo. Un gestore di password elimina questo compromesso alla radice — ricordate solo un segreto master; lui si occupa del resto. Il beneficio anti-phishing è sottovalutato: un gestore compila le credenziali solo sul dominio esatto salvato. Su un falso sito «paypa1.com», si rifiuta semplicemente di compilare — dove un umano di fretta cadrebbe nella trappola. I vostri prossimi 5 minuti Un ultimo riflesso di sicurezza: se ricevete un avviso di fuga per un servizio specifico, non cliccate mai sul link dell'email. Aprite l'app da soli o digitate l'indirizzo manualmente, poi cambiate la password da lì. Le notifiche di fuga sono un'esca ideale per il phishing. Verificate l'esposizione dei vostri indirizzi su Have I Been Pwned — gratuito e affidabile. Installate un gestore di password e create una password master lunga e unica (una passphrase è ideale). Attivate l'autenticazione a due fattori (2FA/MFA) : Microsoft stima che blocchi oltre il 99,9% delle compromissioni degli account. Cambiate per primi le password riutilizzate sugli account critici: email principale, poi banca. Lasciate che il gestore rigeneri il resto gradualmente, un sito alla volta. Smetti di memorizzare. Inizia a proteggere. Crea il tuo caveau QubKey: genera, archivia e compila password uniche su tutti i dispositivi — in pochi minuti. Questo articolo ha scopo informativo. I casi citati (23andMe, PayPal, Île-de-France Mobilités, fuga Cybernews giugno 2025) si basano su stampa specializzata e autorità come la CNIL. In caso di notifica di fuga, seguite sempre le istruzioni ufficiali del servizio interessato.