L’imbianchino digitale: come una password riciclata apre le porte dell’azienda

Una password riciclata, cioè usata sia per un servizio esterno sia per un accesso aziendale, diventa pericolosa il giorno in cui quel servizio esterno subisce una violazione: le coppie di email e password rubate vengono provate in automatico su posta, accessi remoti e applicazioni in cloud, e dove la password è la stessa la porta si apre. La tecnica si chiama credential stuffing. In un’azienda la fermano tre misure che lavorano insieme: una password diversa per ogni servizio, gestita con un password manager aziendale; un secondo fattore di autenticazione sugli accessi che contano; il controllo delle credenziali già comparse in una violazione.

La chiave dell’imbianchino

Per tinteggiare un appartamento si lascia una copia delle chiavi all’imbianchino. Il proprietario, per comodità, ha fatto installare la stessa serratura ovunque: una sola chiave apre casa, cantina, garage e l’ufficio al piano terra. Un pomeriggio il furgone dell’imbianchino viene aperto e il mazzo sparisce, con il cartellino dell’indirizzo ancora attaccato. Chi lo trova non deve scassinare niente: prova la chiave su ogni porta del palazzo, finché una si apre.

Nel mondo digitale il furgone è un sito qualunque: il portale di un fornitore, un’app per le prenotazioni, un forum frequentato anni prima. Il cartellino è l’indirizzo email aziendale usato per registrarsi. E a provare le porte non è una persona, ma un programma che in poco tempo bussa a centinaia di servizi.

Uno scenario tipico. Un responsabile acquisti si registra al portale di un fornitore con l’email aziendale e la stessa password della posta. Mesi dopo il portale subisce una violazione e l’elenco degli utenti finisce in circolazione. Un programma prova quella coppia sulla webmail dell’azienda, sulla VPN e sul gestionale in cloud: la posta si apre. Nessun allarme suona, perché l’accesso avviene con credenziali corrette.

Che cos’è il credential stuffing?

Il credential stuffing è il tentativo automatico di entrare in un servizio con coppie di nome utente e password rubate da un altro servizio. L’OWASP, la comunità internazionale che pubblica le guide di riferimento sulla sicurezza delle applicazioni web, lo distingue dagli attacchi «a forza bruta»: qui non si indovina nulla, si riusano credenziali vere, raccolte da violazioni precedenti e fatte circolare in rete.

Una variante vicina è il password spraying: una stessa password debole, per esempio il nome dell’azienda seguito dall’anno, provata su molti account diversi. Entrambe le tecniche funzionano per lo stesso motivo: le persone ripetono le stesse scelte, e chi attacca lo sa.

Perché in azienda il danno si moltiplica?

Un account personale violato è un problema per una persona. Un account aziendale violato è un punto d’ingresso per molti, per quattro ragioni.

• La posta è la chiave delle altre chiavi. Quasi ogni servizio permette di reimpostare la password con un link via email: chi controlla la casella può prendersi anche gli altri accessi.
• Gli accessi remoti portano dentro la rete. Una VPN o un desktop remoto protetti solo da password trasformano una credenziale riciclata in una presenza nei sistemi interni.
• Le applicazioni in cloud rispondono da ovunque. Gestionale, CRM e archivi documentali accettano chiunque abbia le credenziali giuste, da qualunque Paese.
• Gli assistenti di intelligenza artificiale allargano ciò che un account può leggere. Se un assistente collegato a posta e documenti risponde a chi entra con quelle credenziali, l’attaccante eredita anche le sue ricerche. Per questo i permessi degli assistenti si progettano come quelli di ogni altro sistema: è il tema della nostra pagina su sicurezza e governance dell’AI.

C’è poi il rovescio della medaglia. Se l’azienda gestisce un portale per i clienti o un negozio online, le password riciclate dei clienti diventano un suo problema: gli stessi programmi proveranno sul suo portale le liste rubate altrove.

Quali misure fermano davvero le password riciclate?

Nessuna misura basta da sola. Insieme, rendono una password rubata molto meno utile a chi la possiede.

Due indicazioni, spesso controintuitive, vengono dalle linee guida del NIST, l’ente statunitense per gli standard, aggiornate a luglio 2025. La prima: le nuove password si confrontano con gli elenchi di password note o già compromesse. La seconda: non si impone il cambio periodico, ma si chiede il cambio quando c’è un indizio di compromissione. La scadenza ogni novanta giorni, infatti, produce password prevedibili: «Primavera1», poi «Primavera2», e così via.

Sul secondo fattore, la CISA, l’agenzia statunitense per la cybersicurezza, fa una distinzione utile. Codici via SMS e notifiche da approvare sul telefono sono molto meglio della sola password, ma un attaccante può farseli consegnare con un inganno, o bombardare una persona di richieste finché ne approva una. Le chiavi di sicurezza e le passkey basate sugli standard FIDO resistono a questi trucchi, perché funzionano solo sul sito vero. Per le aziende soggette alla NIS2, l’autenticazione a più fattori compare anche tra le misure di base indicate dall’Agenzia per la Cybersicurezza Nazionale (ACN).

Chi gestisce un portale per i clienti ha un compito in più: conservare le password con funzioni crittografiche adatte, come chiedono le linee guida pubblicate da ACN e Garante per la protezione dei dati personali a fine 2023, e offrire anche ai clienti un secondo fattore.

Come si capisce se le credenziali aziendali sono già in circolazione?

Si controlla, prima che lo faccia qualcun altro. Servizi pubblici di notifica delle violazioni, come Have I Been Pwned, permettono a chi dimostra di gestire un dominio di sapere quali indirizzi aziendali compaiono nelle violazioni conosciute. Molte piattaforme di gestione delle identità segnalano inoltre accessi a rischio e credenziali trapelate, a seconda della licenza.

Nei registri degli accessi, l’IT può cercare segnali precisi:

• accessi riusciti da Paesi o reti dove l’azienda non lavora;
• molti tentativi falliti su account diversi nello stesso intervallo di tempo;
• richieste di secondo fattore che la persona non ha avviato;
• regole di inoltro della posta verso indirizzi esterni create di recente.

Cosa fare se una password è già finita in una violazione?

Conta l’ordine.

1. Cambiare la password ovunque fosse riutilizzata, partendo da posta, accessi remoti e account con privilegi, da un dispositivo pulito.
2. Chiudere le sessioni aperte e rimuovere i dispositivi collegati che non si riconoscono.
3. Controllare la casella: regole di inoltro, deleghe, messaggi inviati che la persona non ricorda.
4. Attivare il secondo fattore dove mancava.
5. Leggere i registri degli accessi per capire se qualcuno è entrato e che cosa ha visto.
6. Valutare gli obblighi. Se sono stati esposti dati personali di clienti o dipendenti, il titolare del trattamento valuta la notifica all’autorità di controllo, ove possibile entro 72 ore dalla scoperta: in Italia il Garante, a San Marino l’Autorità Garante prevista dalla Legge n. 171/2018. Le aziende soggette alla NIS2 valutano anche la notifica al CSIRT Italia. Le regole delle prime ore sono riassunte nella pagina della divisione Cybersecurity.

In sintesi

• Una password usata su più servizi è protetta quanto il più debole di quei servizi.
• Il credential stuffing prova in automatico credenziali rubate altrove: non serve indovinare nulla.
• In azienda il danno si moltiplica, perché la posta reimposta le altre password e gli accessi remoti portano dentro la rete.
• Password manager, secondo fattore e controllo delle password compromesse funzionano insieme, non uno al posto dell’altro.
• Il cambio periodico obbligatorio non aiuta: si cambia quando c’è un indizio di compromissione.
• Se una credenziale è trapelata: cambio, chiusura delle sessioni, controllo della casella, lettura dei registri, valutazione delle notifiche.

Domande frequenti

Un password manager non diventa un unico punto debole?

È un rischio da gestire, non un motivo per rinunciarvi. Con una password principale lunga, il secondo fattore attivo, un fornitore scelto con criterio e una procedura per chi lascia l’azienda, il password manager protegge molto meglio di decine di password simili ripetute a memoria o annotate su un foglio.

Le passkey sostituiranno le password?

Per molti servizi lo fanno già: la passkey resta sul dispositivo e non si può consegnare a una pagina falsa. Non tutti i sistemi aziendali la supportano, quindi conviene partire da posta, account di amministrazione e applicazioni in cloud più usate, e procedere per gradi.

Ogni quanto vanno cambiate le password aziendali?

Le linee guida del NIST indicano di non imporre scadenze periodiche e di chiedere il cambio quando c’è un indizio di compromissione. Conta di più che ogni password sia lunga, unica e confrontata con gli elenchi delle password già note agli attaccanti.

Una password lunga e complessa è al sicuro anche se riutilizzata?

No. La lunghezza protegge dai tentativi di indovinarla, non dal riuso: se un altro servizio la perde, anche la password più complessa viene provata così com’è, e funziona.

Capire quali accessi sono esposti, dove manca il secondo fattore e quali abitudini vanno cambiate è il punto di partenza delle verifiche della divisione Cybersecurity, che lavora anche con formazione e simulazioni per personale e vertici: perché la regola «una password, un servizio» diventi un’abitudine e non un promemoria.

Fonti

Consultate il 16 settembre 2026.

• OWASP, Credential Stuffing Prevention Cheat Sheet
• NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, luglio 2025
• CISA, Implementing Phishing-Resistant MFA, ottobre 2022
• Agenzia per la Cybersicurezza Nazionale, Domande frequenti NIS – Misure e notifiche di base
• Garante per la protezione dei dati personali, provvedimento del 7 dicembre 2023 sulle linee guida ACN «Funzioni crittografiche – Conservazione delle password»
• Regolamento (UE) 2016/679 (GDPR), articolo 33, EUR-Lex
• Consiglio Grande e Generale, Legge 21 dicembre 2018 n. 171, articolo 34
• Have I Been Pwned, ricerca per dominio