«123456» è ancora la password più usata al mondo: per eliminarla basterebbe imporre per legge password complesse o l’autenticazione a più fattori
Sembra incredibile, ma ancora oggi la password più utilizzata al mondo è “123456”. A decretarlo è l’ultimo report annuale di NordPass sulle password più sfruttate nelle violazioni di dati. Sorprendente la longevità anche di altre opzioni, altrettanto prevedibili, come “123456789”, “12345678”, “12345” e “admin”.
Lo studio potrebbe essere considerato come l’ennesimo rapporto allarmistico senza un vero fondamento, ma è interessante constatare come esistano ancora siti che permettono di creare account usando “123456” come password.
Quando i siti accettano ancora password deboli
Un esempio è il sito Evite che permette ancora oggi di utilizzare questa semplice sequenza di cifre. Anche se il sito fornisce un servizio di inviti elettronici, in realtà, nell’erogazione del servizio vengono condivisi dati personali, anche attraverso la creazione di un account. La parte più preoccupante rimane però il fatto che lo stesso sito Evite è stato oggetto di una violazione dei dati nel 2019 che ha coinvolto le informazioni personali di oltre 100 milioni di utenti.
La situazione non migliora eseguendo altri test su siti ancora più popolari. Per esempio: creando un account su Facebook, la piattaforma richiede un certo livello di complessità della password, ma una semplice sequenza, come “1234567!”, viene comunque accettata, nonostante lo stesso sito offra anche alcuni consigli per creare la propria password, come: “Evita di usare parole comuni” e “Se la tua password non è abbastanza forte, mescola lettere maiuscole e minuscole. Rendila più complessa usando una frase più lunga o una serie di parole che puoi ricordare ma che altri non conoscono”.
Eppure, Facebook, nel momento della creazione di un account, consente l’utilizzo di “1234567!”: nessuna lettera, solo un pattern sequenziale con un semplice punto esclamativo alla fine, facilmente intuibile, soprattutto da script automatizzati che testano in massa gli account con pattern e stringhe comuni.
Incredibile, soprattutto se si pensa che Collins Dictionary, un sito con contenuti molto meno sensibili, obbliga a creare una password di otto caratteri contenente almeno tre tra i seguenti elementi: lettere minuscole (a-z), lettere maiuscole (A-Z), numeri (0-9) e caratteri speciali (ad esempio !@#$%^&*).
I limiti dei dati sulle password più comuni
Nel report di NordPass però vengono segnalati numerosi siti che adottano policy limitate sulle password e che consentono l’adozione di password deboli come “123456”. In questo contesto, va però considerato anche l’aspetto di “eredità” nel metodo utilizzato per verificare l’utilizzo delle password più comuni. Per esempio, se un’azienda esiste da 10 anni e non ha mai eliminato gli account degli utenti inattivi, una violazione permetterebbe di accedere solo a informazioni obsolete di account dormienti. A questo si aggiunge il fatto che spesso la notizia di data breach e violazione delle password viene diffusa e rimarcata da aziende il cui core business è proprio la fornitura su abbonamento di software di gestione delle password.
Interrompere il ciclo
Come è possibile risolvere il problema dell’adozione delle password deboli e la presenza in rete di siti e piattaforme che ne consentono ancora l’utilizzo?
Probabilmente è arrivato il momento che il legislatore intervenga fermamente per porre fine alla pratica di tutte quelle aziende che non implementano politiche di autenticazione rigorose e permettono ai loro utenti di scegliere l’opzione più facile. Esiste una legislazione diffusa sulla privacy, sia a livello europeo che nazionale, che stabilisce che le aziende devono proteggere i dati personali dei loro utenti, utilizzando misure di sicurezza informatica adeguate. Una parte fondamentale di queste misure è l’impostazione di password forti e complesse e l’uso dell’autenticazione a più fattori (MFA), come richiesto da qualsiasi framework di cybersecurity che si rispetti. Eppure, in molti casi, non esistono requisiti di sicurezza informatica per l’autenticazione di servizi rivolti ai clienti.
L’autenticazione a più fattori come standard di sicurezza
Alcuni settori, attraverso legislazioni dedicate, data la sensibilità dei dati che trattano, sono stati costretti ad aggiornarsi a metodi moderni. Nel settore finanziario, per esempio, esistono diverse normative, come la Payment Services Directive 2 (PSD2), che impongono l’MFA per i pagamenti elettronici e l’accesso online ai conti di pagamento. Questa legislazione dovrebbe estendersi a tutti i settori, imponendo l’MFA per tutti gli account creati online, indipendentemente dal servizio utilizzato. In altre parole, occorre abbandonare l’uso obsoleto delle password e passare a sistemi di sicurezza più adeguati per l’Internet di oggi.
Sul percorso ci sono, però, degli ostacoli. Le aziende che dipendono dalla pubblicità o dalla raccolta (e vendita) di dati personali per fare business esercitano forti pressioni contro questa misura, e le aziende con grandi budget si oppongono a tutto quello che può ostacolare i loro profitti, come per esempio la sicurezza degli account dei clienti tramite password complesse e/o MFA.
Da 30 anni si parla del problema delle password deboli, tanto da aver istituito una giornata dedicata, il “Password Day” che si celebra il primo giovedì di maggio di ogni anno. Esisterebbe un modo semplice ed efficace per risolvere la questione: imporre password complesse o, meglio ancora, l’MFA. Solo così si potrà smettere una volta per tutte di parlare di “password deboli”.
La vulnerabilità nella gestione degli asset OT
Cosa dice il Rapporto Clusit 2026 sulla Cybersecurity in Italia e nel mondo 2026
di Redazione
Il problema delle password deboli non riguarda solo i siti web di consumo: il Rapporto Clusit sulla Cybersecurity in Italia e nel mondo 2026 mostra che la stessa fragilità, spesso in forma ancora più critica, si ritrova negli ambienti industriali OT (Operational Technology), dove gestire correttamente asset e credenziali resta più un’eccezione che una regola.Sul fronte degli asset inventory, il rapporto rileva che «circa il 50% degli Asset Owner dispone di un asset inventory di impianto», ma «solo il 15% di questi inventari può essere considerato realmente completo», includendo informazioni fondamentali come versione del firmware, ultima patch installata, responsabile dell’asset, livello di hardening applicato ed eventuali vulnerabilità note (CVE) associate.
Asset inventory OT ancora incompleti
Una carenza legata anche al fatto che l’inventario fornito dagli Integration Service Provider «non viene integrato nell’inventario centrale dell’Asset Owner»: «tutti gli Integration Service Provider producono un asset inventory come parte delle attività di progetto», ma «solo circa il 10% integra informazioni avanzate», come dettagli sul firmware installato o sulle vulnerabilità note, limitando il valore dell’inventario ai fini della gestione del rischio cyber.Anche il controllo degli accessi ai sistemi OT — PC bordo macchina, Engineering Workstation, Operator Workstation, SCADA, DCS e HMI — presenta lacune: «circa il 40% degli Asset Owner implementa un modello di controllo degli accessi basato sui ruoli (RBAC)», ma «solo il 5% applica tale approccio tramite un domain controller dedicato all’ambiente OT».
Password deboli e credenziali privilegiate
Un ulteriore 25% si appoggia al domain controller dell’IT, mentre «circa il 70% applica il controllo degli accessi esclusivamente a livello locale sui singoli sistemi».Il dato più allarmante riguarda proprio le credenziali, il cuore del problema raccontato in questo articolo: «solo il 25% degli Asset Owner dispone di una policy dedicata» alla loro gestione, mentre nel restante 75% dei casi «sono ancora diffuse password deboli, ad esempio composte esclusivamente da numeri, con lunghezze ridotte (fino a 8 caratteri) e, in molti casi, condivise tra più utenti».
Ancora più critico: «in circa il 65% dei casi, queste credenziali deboli vengono utilizzate anche per ruoli ad alto privilegio», rendendo l’ambiente OT «estremamente vulnerabile e facilmente sfruttabile da un attaccante una volta ottenuto l’accesso iniziale».Paradossalmente, l’accesso remoto delle terze parti risulta più protetto: «oltre il 60% degli Asset Owner» lo gestisce «attraverso approcci considerati sicuri, basati su VPN dedicate e autenticazione multi-fattore (MFA)» — segno, conclude Clusit, che «vi sia una percezione diffusa che le principali minacce provengano dall’esterno dell’organizzazione», mentre l’accesso interno e la gestione locale dei sistemi OT vengono spesso trattati «come se appartenessero a un dominio di rischio differente e meno critico».
