La tua password è probabilmente già stata rubata. Non è un’esagerazione: nel solo 2025 sono state esposte online 19 miliardi di credenziali, e il 94% delle password analizzate risulta riutilizzato su più siti. Il mercato nero dei dati li vende a 10 dollari l’uno. Ma come funziona esattamente questo meccanismo? Come vengono rubate le password, come vengono “rotte”, e — soprattutto — come possiamo rendere la vita impossibile a chi cerca di violarle?

Questo articolo è un viaggio dentro la scienza delle password. Parleremo di leak, hash, brute force e entropia — ma senza dare nulla per scontato. Non serve una laurea in informatica: serve solo la curiosità di capire perché otto caratteri non bastano più, e perché una frase che sembra semplice può essere molto più sicura di una password “complicata”.

📊 I numeri del disastro

Il dato più inquietante? Secondo Verizon, solo il 3% delle password nel mondo soddisfa i requisiti minimi di sicurezza definiti dal NIST (l’ente americano di standardizzazione tecnologica). Il restante 97% è vulnerabile in qualche modo — troppo corta, troppo prevedibile, già presente in un database di credenziali rubate.

💧 Cos’è un “leak” e perché ti riguarda

Un leak (letteralmente “perdita”) è la fuoriuscita di dati da un sistema informatico. Può avvenire per un attacco hacker, per un errore di configurazione, o perché un database mal protetto finisce esposto su Internet senza che nessuno se ne accorga.

Quando un servizio online subisce un leak, i dati dei suoi utenti — email, username, password — vengono raccolti e finiscono nei mercati del dark web. Lì vengono venduti, scambiati, compilati in enormi archivi. Nel giugno 2025, i ricercatori di Cybernews hanno scoperto 30 dataset contenenti 16 miliardi di credenziali appena esposte — una delle più grandi raccolte mai trovate.

🧮 Come vengono memorizzate le password: l’hash

Un servizio online serio non memorizza la tua password in chiaro. Quando crei un account e scegli una password, il sistema la trasforma con una funzione matematica chiamata hash e memorizza solo il risultato.

Cos’è una funzione hash

Una funzione hash prende un input di qualsiasi lunghezza e produce un output di lunghezza fissa — una stringa di caratteri che sembra casuale. La caratteristica fondamentale è che la trasformazione funziona in una sola direzione: dall’input puoi calcolare facilmente l’hash, ma dall’hash non puoi risalire all’input originale.

Quando fai login, il sistema calcola l’hash della password che inserisci e lo confronta con quello memorizzato. Se corrispondono, entri. Questo significa che anche se un hacker ruba il database, quello che trova non è la tua password ma il suo hash. Deve “romperlo” per risalire alla password — e qui entra in gioco la matematica.

Hash, salt e pepper: le difese dei sistemi ben progettati

Un hash da solo non basta. Se due utenti scelgono la stessa password, il loro hash sarà identico — e un attaccante lo noterà. Per questo i sistemi seri aggiungono un salt: una stringa casuale, diversa per ogni utente, che viene aggiunta alla password prima di calcolare l’hash.

Alcuni sistemi aggiungono anche un pepper — un valore segreto memorizzato separatamente dal database — e usano algoritmi di hash “lenti” appositamente progettati come bcrypt, scrypt o Argon2, che richiedono molto tempo e risorse per ogni calcolo. Questo rende gli attacchi di forza bruta enormemente più costosi.

🔨 Brute force: provare tutte le combinazioni

Un attacco brute force è concettualmente semplice: l’attaccante prova tutte le possibili combinazioni di caratteri finché non trova quella giusta. È come aprire un lucchetto a 4 cifre provando 0000, 0001, 0002… fino a 9999. Semplice, ma efficace — se il lucchetto è piccolo.

La matematica del brute force

Il numero totale di password possibili dipende da due fattori: il set di caratteri utilizzato e la lunghezza della password.

Ora facciamo il conto. Una GPU moderna (tipo una RTX 4090, che si compra per circa 1.500 euro) può calcolare circa 10 miliardi di hash SHA-256 al secondo. Ecco quanto tempo serve per rompere una password con brute force puro:

📖 I criminali non sono stupidi: attacchi dizionario e regole

Nessun attaccante serio prova davvero tutte le combinazioni in ordine. Usano metodi molto più intelligenti.

📐 L’entropia: misurare la forza di una password con la matematica

L’entropia è la misura matematica dell’imprevedibilità di una password. Si misura in bit. Ogni bit di entropia raddoppia il numero di tentativi necessari per indovinarla.

Facciamo qualche esempio concreto:

* Il valore di 50 bit per Mario2024! assume entropia teorica. In pratica, siccome segue uno schema prevedibile (nome + anno + simbolo), l’entropia effettiva è molto più bassa — forse 25-30 bit. Un attacco con regole la troverebbe in minuti.

🛡️ Come costruire una password forte (senza impazzire)

Riassumendo tutto quello che abbiamo visto, ecco le regole — con le motivazioni matematiche dietro ciascuna.

❓ Quiz: quanto ne sai di password?

📋 Il riepilogo in 4 concetti

📚 Risorse