Un'analisi approfondita su 231 milioni di credenziali nel Dark Web rivela una realtà allarmante: quasi la metà delle password globali può essere violata in meno di un minuto. Scopriamo come l'evoluzione delle GPU e l'intelligenza artificiale stanno accelerando il cracking e quali sono le strategie concrete per blindare la nostra identità digitale.
La tecnologia dietro il cracking: come gli hacker decifrano le password
Le violazioni di dati riversano ogni anno centinaia di milioni di credenziali nel Dark Web. Per comprendere come gli aggressori sfruttino questi database, occorre analizzare come vengono archiviate le password sui server sicuri. I sistemi moderni non memorizzano le credenziali in chiaro, ma le sottopongono a un processo di hashing: un algoritmo matematico unidirezionale che converte la stringa di testo originale in una sequenza alfanumerica di lunghezza fissa (chiamata hash).
Ad esempio, la password comune Password123! inserita in un algoritmo di hashing MD5 genera la seguente stringa:
plaintext2c103f2c4ed1e59c0b4e2e01821770fa
Quando un utente effettua l'accesso, il sistema calcola l'hash della password inserita e lo confronta con quello salvato sul server. Se gli hash corrispondono, l'accesso viene autorizzato. Gli hacker che sottraggono questi database devono quindi decifrare (effettuare il "cracking") gli hash per risalire alle password originali. Per farlo utilizzano principalmente tre metodologie:
Forza bruta (Brute force): il computer calcola sistematicamente l'hash di ogni combinazione possibile di caratteri fino a trovare quella corretta. È il sistema più elementare, ideale per credenziali brevi o composte solo da numeri.
Tabelle Rainbow (Rainbow Tables): enormi database precompilati che contengono milioni di hash associati alle rispettive password in chiaro. L'attaccante deve solo cercare la corrispondenza dell'hash sottratto nel database per ottenere immediatamente la credenziale.
Smart cracking: algoritmi avanzati addestrati su database storici di fughe di dati. Questi sistemi riconoscono i pattern più diffusi (come parole del dizionario seguite da anni o caratteri speciali comuni) ed effettuano tentativi mirati, partendo dalle sequenze statisticamente più probabili.
Inoltre, gli attaccanti intercettano spesso credenziali in chiaro tramite campagne di phishing, keylogger (software che registrano i tasti premuti sulla tastiera) o Trojan infostealer, programmi dannosi progettati per estrarre cookie, dati di compilazione automatica e credenziali memorizzate nei browser web in pochi secondi.
I dati dello studio: il 60% delle credenziali cede in meno di un'ora
Espandendo i database delle analisi precedenti con ulteriori 38 milioni di password reali pubblicate sui forum del Dark Web, è stata testata la resilienza delle credenziali moderne utilizzando una singola GPU Nvidia RTX 5090. I risultati evidenziano un'accelerazione preoccupante nei tempi di decrittazione.
Oggi il 60% delle password può essere decifrato in meno di un'ora. Nel precedente studio del 2024, la percentuale si attestava al 59%. Il dato più critico riguarda la vulnerabilità immediata: quasi la metà delle credenziali (48%) viene decifrata in meno di un minuto.
Tempo di cracking | Percentuale di password decifrabili (2024) | Percentuale di password decifrabili (2026) |
|---|---|---|
Meno di un minuto | 45% | 48% |
Meno di un'ora | 59% | 60% |
Meno di 24 ore | 67% | 68% |
Meno di 1 mese | 73% | 74% |
Meno di un anno | 77% | 77% |
Più di un anno | 23% | 23% |
La rapidità delle operazioni di cracking è legata all'evoluzione dell'hardware grafico. Mentre la GPU top di gamma del 2024 (RTX 4090) elaborava circa 164 gigahash (miliardi di hash) al secondo con l'algoritmo MD5, la RTX 5090 raggiunge i 220 gigahash al secondo, segnando un incremento del 34% nelle prestazioni di calcolo.
Mostra dati
| Voce | Gigahash al secondo |
|---|---|
| Nvidia RTX 4090 (2024) | 164 |
| Nvidia RTX 5090 (2026) | 220 |
I cybercriminali non devono necessariamente acquistare schede grafiche costose: il noleggio di istanze GPU in cloud costa da pochi centesimi a pochi dollari l'ora, rendendo gli attacchi su larga scala estremamente economici. Inoltre, processare un intero database di hash non richiede molto più tempo rispetto alla decifrazione di una singola password, poiché l'algoritmo confronta ogni combinazione generata simultaneamente con tutte le voci del database esposto.
Anatomia di una password debole: i pattern più comuni
Gli esseri umani tendono a essere prevedibili quando creano combinazioni di sicurezza. L'analisi del comportamento degli utenti evidenzia abitudini ricorrenti che facilitano il lavoro degli algoritmi di cracking:
Uso dei numeri e degli anni di nascita
Il 53% delle password analizzate termina con una o più cifre, mentre il 17% inizia con un numero. Nel 12% dei casi le credenziali contengono sequenze corrispondenti ad anni compresi tra il 1950 e il 2030, con una forte concentrazione (10%) nell'intervallo tra il 1990 e il 2026. Questi dati indicano che gli utenti inseriscono frequentemente il proprio anno di nascita o l'anno corrente di creazione dell'account. La distribuzione statistica suggerisce che la fascia di utenti più attiva online sia nata tra il 2000 e il 2012. La sequenza numerica in assoluto più diffusa rimane "1234", mentre le combinazioni di tasti consecutivi sulla tastiera (come "qwerty") appaiono nel 3% delle credenziali.
Inutilità dei caratteri speciali prevedibili
Anche se molti portali obbligano l'uso di caratteri speciali, la scelta degli utenti si concentra quasi sempre sulle stesse opzioni. Il simbolo "@" è presente in una password su dieci, seguito in termini di diffusione dal punto (.) e dal punto esclamativo (!).
Parole emozionali e meme di tendenza
I termini legati alla sfera affettiva e positiva dominano i dizionari delle credenziali. Parole come "love", "angel", "team", "mate", "life" e "star" sono costantemente in cima alle statistiche. Non mancano i riferimenti alla cultura pop e di internet: tra il 2023 e il 2026, l'uso del termine "Skibidi" (legato al celebre meme virale) nelle password è aumentato di ben 36 volte, registrando picchi significativi anche per parole collegate come "toilet".
La persistenza delle vecchie abitudini
L'indagine evidenzia che il 54% delle credenziali presenti nei recenti leak era già comparso in violazioni passate. Questo fenomeno si spiega sia con la circolazione degli stessi dump di dati nel Dark Web, sia con la riluttanza degli utenti a modificare le proprie chiavi d'accesso.
Le password contenenti riferimenti temporali dal 2020 al 2024 rimangono ampiamente diffuse nei database del 2026. La vita media di una password non modificata si attesta tra i 3 e i 5 anni. Mantenere la stessa credenziale per un periodo così lungo espone l'utente a gravi rischi: gli algoritmi di calcolo si evolvono e la probabilità che il servizio web subisca una violazione aumenta nel tempo. Il pericolo si amplifica ulteriormente se la medesima password viene riutilizzata su più piattaforme (credential stuffing).
Guida pratica: come proteggere password e account personali
Per mitigare l'efficacia dei moderni sistemi di cracking, è indispensabile abbandonare la gestione manuale delle credenziali e adottare standard di sicurezza aggiornati.
Utilizzare un gestore di password (Password Manager)
La mente umana non è progettata per memorizzare decine di stringhe casuali di 16 o 20 caratteri. Un password manager risolve questo problema generando chiavi complesse e uniche per ogni servizio, custodendole all'interno di un database crittografato. L'utente deve memorizzare unicamente una sola master password sicura per sbloccare l'applicazione.
Evitare il salvataggio nei browser
Sebbene i browser web offrano la memorizzazione integrata delle credenziali, questa soluzione è vulnerabile. I moderni malware di tipo infostealer sono progettati specificamente per estrarre in pochi istanti i database delle password dei browser più diffusi, decifrandone i file di configurazione locali.
- ✓Le passkey eliminano il rischio di phishing poiché collegate a domini specifici
- ✓Nessuna password da digitare o memorizzare
- ✓Sicurezza crittografica basata su chiave pubblica e privata
- ✗Mancanza di supporto uniforme su alcuni siti web obsoleti
- ✗Richiedono un dispositivo abilitato o un password manager compatibile
Implementare l'autenticazione a due fattori (2FA)
L'attivazione del secondo fattore di autenticazione assicura che, anche in caso di compromissione della password, l'accesso rimanga protetto da un codice temporaneo (OTP). Per massimizzare la sicurezza, è consigliabile evitare i codici inviati tramite SMS (soggetti ad attacchi di SIM swapping) a favore di applicazioni di autenticazione dedicate.
Adottare le Passkey
Le passkey rappresentano l'evoluzione dell'autenticazione passwordless (senza password). Questo standard crittografico associa una chiave pubblica registrata sul servizio web a una chiave privata memorizzata in modo sicuro sul dispositivo dell'utente (protetta da riconoscimento biometrico o PIN). Poiché la chiave privata non viene mai trasmessa in rete, le passkey sono intrinsecamente immuni agli attacchi di phishing e alle violazioni dei server.
Verdetto della Redazione
I dati del 2026 confermano che affidarsi a password create manualmente è ormai un rischio inaccettabile. La potenza di calcolo delle moderne GPU e l'efficacia degli algoritmi di smart cracking richiedono un cambio di paradigma: l'adozione di un gestore di credenziali robusto e l'attivazione sistematica di passkey e autenticazione a due fattori (2FA) rappresentano le uniche barriere difensive realmente efficaci.
