Laurence CadieuxAggiornamento (agosto 2026): abbiamo rivisto questo articolo e aggiornato i consigli per il Wi-Fi domestico di oggi, con indicazioni più solide sulla crittografia, la separazione tra ospiti e dispositivi IoT, l’igiene del firmware e altro ancora, mantenendo la struttura originale dei nove consigli.
In un recente articolo sui consigli di cybersecurity che i genitori dovrebbero insegnare ai propri figli, abbiamo evidenziato come, contrariamente a quanto molti credono, le reti wireless domestiche possano essere altamente insicure. Purtroppo, le uniche persone contente di questo sono gli hacker.
Dato che di certo non si desidera rendere felici gli hacker, ecco 9 consigli per rendere più sicura la rete wireless domestica (a proposito, un grande GRAZIE al membro della community Scott Bowling per averci suggerito l’idea di questo articolo!).
1. Usare una crittografia Wi-Fi moderna (preferire WPA3)
Il problema: quasi tutti i router offrono la crittografia, ma la modalità attiva (o rimasta da una vecchia configurazione) potrebbe essere ancora debole. Opzioni obsolete come WEP, o le vecchie modalità WPA/TKIP, non sono accettabili su una rete che gestisce home banking, lavoro e account personali.
Come intervenire: nelle impostazioni del router, scegliere WPA3-Personal quando tutti i dispositivi che contano lo supportano. Se si dispone ancora di un mix di dispositivi più vecchi, utilizzare la modalità di transizione WPA2/WPA3 solo come ponte temporaneo, per poi passare completamente a WPA3 non appena possibile. Evitare del tutto WEP e le vecchie modalità WPA/TKIP.
Wi-Fi Alliance ha progettato WPA3-Personal basandosi su un’autenticazione tramite password più solida (SAE), che resiste meglio agli attacchi a dizionario offline rispetto al classico PSK di WPA2-Personal. Anche così, la crittografia da sola non basta: è comunque necessaria una password di rete forte. Ecco il consiglio numero 2.
2. Sostituire la password Wi-Fi predefinita con una passphrase forte
Il problema: lasciare invariata la password Wi-Fi di fabbrica equivale a un invito aperto. Lo stesso vale per il riutilizzo di una password breve e facilmente intuibile già usata per l’e-mail o i social media. Soprattutto su WPA2, una passphrase debole rimane una superficie di attacco concreta.
Come intervenire: impostare una passphrase Wi-Fi unica, lunga e difficile da indovinare. L’obiettivo è qualcosa di facile da ricordare per l’utente e impossibile da indovinare per un malintenzionato:
- Almeno 15 caratteri (più lunga è, meglio è)
- Un mix di parole poco comuni va benissimo; non è necessaria un’accozzaglia illeggibile di simboli
- Niente sequenze da tastiera (
qwerty), sostituzioni scontate (P@ssw0rd), singole parole di dizionario o dati personali (nomi, date di nascita, indirizzo di casa)
Come già trattato in password contro passphrase, una frase come bluepoodleParisairplanepeanuts è di solito più facile da ricordare e più difficile da decifrare rispetto a una password breve ma “complessa”.
Per chi non desidera memorizzare i segreti del router, è possibile conservarli in un gestore di password. Per uso personale, Devolutions Password Manager (e più in generale il percorso degli strumenti gratuiti) è un ottimo punto di partenza, così la chiave Wi-Fi e la password di amministrazione non restano per sempre in un’app di note.
3. Modificare le credenziali amministrative predefinite del router
Il problema: i portali di amministrazione dei router si trovano spesso ancora a indirizzi come http://192.168.1.1 o http://192.168.0.1, e molti vengono ancora forniti con una coppia nome utente/password predefinita ben nota (o una password su etichetta che non viene mai cambiata). Se qualcuno riesce ad accedere a quel portale, può modificare il DNS, aprire l’accesso remoto o bloccare l’accesso legittimo.
Come intervenire: cambiare la password di amministrazione con una password unica e forte, diversa dalla passphrase Wi-Fi. È preferibile salvarla in un gestore di password con un’etichetta chiara (Router di casa - admin), per non essere tentati di riutilizzare la password dell’SSID o di scriverla su un post-it attaccato sotto il modem.
4. Disattivare la gestione remota
Il problema: alcuni router permettono di raggiungere l’interfaccia di amministrazione da internet pubblico. Anche con una password, questo espone una pagina di accesso (con tutti i suoi eventuali bug) al mondo intero. Credenziali amministrative deboli peggiorano ulteriormente il rischio.
Come intervenire: disattivare la gestione remota / l’amministrazione remota / l’accesso amministrativo dal lato WAN nell’interfaccia del router. In questo modo, solo i dispositivi già presenti sulla rete locale potranno raggiungere il portale di amministrazione. Se è davvero necessaria una gestione da remoto, è meglio utilizzare una soluzione di accesso remoto sicura e dedicata, piuttosto che lasciare la porta di amministrazione del router aperta verso internet.
5. Disattivare il WPS
Il problema: il Wi-Fi Protected Setup (WPS) doveva semplificare l’associazione dei dispositivi tramite un pulsante o un PIN. In pratica, molte implementazioni si sono rivelate deboli per anni, e il WPS basato su PIN in particolare ha una lunga storia di abusi tramite attacchi a forza bruta, in grado di esporre la chiave di rete.
Come intervenire: disattivare il WPS. Collegare un nuovo dispositivo digitando una sola volta la passphrase Wi-Fi è un piccolo inconveniente, rispetto al lasciare attivo un percorso di configurazione notoriamente debole.
6. Mantenere aggiornato il firmware del router
Il problema: il firmware del router è software. Riceve CVE, proprio come smartphone e computer portatili. Gli aggressori scansionano la rete in cerca di modelli vulnerabili noti; un gateway domestico non aggiornato resta ancora un punto d’appoggio molto popolare.
Come intervenire:
- Controllare il sito di supporto del produttore per verificare il firmware attuale e applicare gli aggiornamenti secondo una pianificazione regolare
- Attivare gli aggiornamenti automatici, se il router li offre e ci si fida del canale di distribuzione del produttore
- Se il produttore ha abbandonato il modello anni fa, questo va considerato un motivo per sostituire l’hardware, non per sperare che vada tutto bene
Le linee guida della CISA sulla protezione delle reti wireless restano un utile elenco di controllo di base per abitazioni e piccoli uffici.
7. Cambiare il nome di rete predefinito (SSID)
Il problema: gli SSID predefiniti spesso indicano la marca o il modello del router (NETGEAR42, LinksysXXXX). Questo aiuta i vicini a capire chi ha lasciato invariate le impostazioni di fabbrica, e può aiutare un malintenzionato a intuire quali vulnerabilità note o schemi di credenziali predefinite provare. Gli SSID personali (Casa-di-Giovanni, Via-Roma-123) rivelano l’identità in un altro modo.
Come intervenire: rinominare l’SSID con qualcosa di unico e volutamente anonimo, che non includa nome, indirizzo, numero di telefono o modello esatto del router. Le battute creative è meglio riservarle a un contesto che non venga trasmesso in chiaro verso la strada.
8. Separare ospiti e dispositivi IoT su una rete distinta
Il problema: nascondere l’SSID era un tempo un “consiglio” popolare, ma si tratta perlopiù di sicurezza apparente. Gli scanner più capaci individuano comunque le reti nascoste, e molti dispositivi client cercano attivamente quel nome nascosto in chiaro, il che può comunque rivelarlo. Nel frattempo, il rischio moderno più rilevante è più semplice: gli smartphone degli amici, le smart TV, le videocamere, le lampadine e altri dispositivi IoT condividono la stessa LAN dei computer portatili di lavoro e dei computer personali.
Come intervenire: creare una rete ospiti (o un secondo SSID / una VLAN IoT, se il router lo supporta) e collocarvi i visitatori e la maggior parte dei dispositivi smart-home. Mantenere smartphone, computer e qualsiasi cosa contenga dati di lavoro o bancari sulla rete principale. Attivare l’isolamento dei client sul lato ospiti, quando l’opzione è disponibile, così una presa smart compromessa risulta meno utile come punto di accesso verso il computer portatile.
Questa singola modifica offre in genere una protezione concreta maggiore di quanto abbia mai fatto nascondere l’SSID.
9. Mantenere ogni dispositivo connesso aggiornato ed essenziale
Il problema: un router protetto non può salvare la situazione se uno smartphone, un computer portatile o una videocamera compromessi si trovano già all’interno del perimetro. Le reti domestiche raccolgono oggi più endpoint che mai, e molti dispositivi IoT smettono di ricevere aggiornamenti molto prima di essere gettati via.
Come intervenire:
- Mantenere aggiornati sistema operativo e app su smartphone, tablet e computer
- Utilizzare una protezione degli endpoint affidabile, dove ha senso farlo
- Rimuovere i dispositivi non più utilizzati; un gadget smart abbandonato resta comunque una superficie di attacco
- Preferire i produttori che continuano a distribuire aggiornamenti di sicurezza, e collocare tutto il resto sulla rete ospiti/IoT descritta nel consiglio 8
- Verificare quali dispositivi sono effettivamente associati al Wi-Fi ed escludere tutto ciò che non viene riconosciuto
In conclusione
Gli aggressori preferiscono gli obiettivi facili: password predefinite, firmware obsoleti, WPS lasciato attivo e un’unica rete piatta piena di dispositivi non aggiornati. Nessuno dei consigli precedenti richiede un budget aziendale. Richiedono però una breve verifica delle impostazioni del router che la maggior parte delle persone non apre più dopo il giorno dell’installazione.
Innanzitutto, blindare crittografia e password, chiudere l’amministrazione remota e il WPS, mantenere tutto aggiornato, rinominare i valori predefiniti troppo scontati, quindi separare ospiti e dispositivi IoT da quelli che contano davvero. Questa combinazione rende ancora il Wi-Fi domestico un luogo molto meno interessante da attaccare.
Per un luogo più sicuro dove conservare le passphrase lunghe generate seguendo questi consigli, provare Devolutions Password Manager.