Miti di cybersicurezza: sette domande per il nostro team di sicurezza

Ottobre è il Mese della cybersicurezza, una campagna mondiale con un compito semplice: aiutare le persone a prendere qualche abitudine che le renda davvero più sicure online. I consigli cambiano di rado; aggiorni il software, smetta di riutilizzare le password, pensi prima di fare clic. La parte difficile è che molti di noi credono già di farlo.

Tutti ci portiamo dietro un mito di cybersicurezza o due. Lo scorso ottobre abbiamo chiesto alla community quali miti di cybersicurezza la infastidiscono di più. Quelli che la gente recita senza pensare hanno riempito l’elenco: un’azienda troppo piccola perché valga la pena attaccarla, un antivirus come strategia già conclusa, un mittente noto come prova che un’e-mail è sicura, una VPN come privacy totale.

Quest’anno abbiamo chiesto ai colleghi quali miti di cybersicurezza sentono ancora, o a cui credono ancora a metà. Abbiamo raccolto quelle risposte e ne abbiamo scelte sette perché le affrontasse David Grandolfo, coordinatore della sicurezza difensiva. Ogni sezione qui sotto tiene il mito nelle parole in cui è arrivato. Le sue risposte stanno nei riquadri, separate dalle domande.

Una password complessa è sufficiente

I consigli sulle password hanno passato anni sulla stessa lezione: più è lunga, meglio è, i simboli sono meglio, e una password che nessuno potrebbe memorizzare è una password che nessuno potrebbe indovinare. Diversi colleghi hanno descritto quella lezione come un mito che sentono ancora, o a cui credevano.

Una password di 50 caratteri, con lettere, numeri e caratteri speciali, mi rende intoccabile.

Una password molto complessa basta, da sola, a proteggere il mio account.

Per molto tempo, quando ero più giovane e più ingenuo, pensavo che una password molto complessa fosse tutto ciò di cui i miei account avevano bisogno.

Una passphrase è più sicura di una sola parola piena di caratteri speciali.

Le prime tre trattano la complessità come tutta la difesa. Una è offerta come una vecchia convinzione, di quelle che sembrano ovvie finché non lo sono più. La quarta discute la forma della password, una frase invece di una parola piena di simboli, e mette ancora la password stessa al centro.

La domanda per il nostro team di sicurezza: una password molto complessa, o una passphrase, protegge un account da sola?

No. Una password complessa, o una passphrase casuale, non protegge un account da sola. Il seguito è prevedibile. L’autenticazione a più fattori non protegge un account da sola nemmeno lei, e questo vale ben oltre un codice SMS di base, più facile da intercettare per un attaccante.

Esistono diverse tecniche di attacco, e una è il password spraying. Una password complessa riduce quel tipo di attacco, o impedisce persino che scopra la sua password. Nel 2026, però, gli attaccanti catturano la password. Per questo il phishing (chiederle di compilare un modulo con account e password) è una delle strategie più diffuse. Una volta che l’attaccante le ha fatto inserire la password, la lunghezza non conta più. Ce l’ha, e conosce il suo Paese. Allora apre una VPN nel suo Paese, per aggirare i controlli di sicurezza di Microsoft, e incolla semplicemente la sua password.

L’autenticazione a più fattori non la protegge del tutto per lo stesso motivo. Durante la stessa tecnica, gli attaccanti più solidi vanno oltre. Le chiedono di accedere «normalmente» sul sito di Microsoft e poi catturano il suo token di sessione. Quel token può nominare l’account, spesso la sua e-mail, e mostra che la richiesta di autenticazione a più fattori è già riuscita. Non contiene la sua password. Riutilizzarlo permette loro di agire come lei finché la sessione resta valida, e solo dentro ciò che quell’account può aprire. Una password lunga e complessa aiuta. Aggiunga l’autenticazione a più fattori. Ancora più importante, faccia attenzione a dove inserisce le sue informazioni.

Finiremo tutti per essere colti

Alcuni colleghi hanno descritto un modo più silenzioso di lasciar perdere: la sensazione che accadrà comunque, o che sono troppo ordinari perché ne valga la pena.

Finiremo tutti per essere colti, prima o poi.

Se qualcuno capace vuole davvero entrare nel mio account, o nel mio computer, ci entra, anche se ho un antivirus.

Non ho niente da nascondere, quindi non devo preoccuparmi davvero dei dati che le aziende raccolgono su di me, di cosa ne fanno o con chi li condividono.

Nessuno vorrebbe hackerare il mio account. Non c’è niente di interessante.

Non ho niente che valga la pena rubare.

Le prime due trattano un’intrusione come una questione di tempo. In quel quadro, un attaccante capace entra comunque, antivirus compreso. Le altre tre trattano la persona come troppo piccola, o troppo innocente, per contare. Il collega che ha riportato «non ho niente da nascondere» non era d’accordo. Se le persone vedessero quanto le aziende possono raccogliere, condividere e vendere, sarebbero molto meno tranquille. Arriva più lontano di quanto la maggior parte di noi pensi, e anche chi lo scriveva sospettava che l’elenco completo lo avrebbe sorpreso.

La domanda per il nostro team di sicurezza: «finiremo tutti per essere colti» è una descrizione giusta, o una ragione per smettere di provarci? Se l’attaccante è abbastanza capace, l’antivirus cambia il risultato? E non avere niente da nascondere, o niente di interessante, tiene davvero una persona o un account fuori dall’elenco?

Per niente. È vero che noi, o l’azienda con cui lavoriamo per i nostri dati protetti, o la nostra stessa azienda, verremo colpiti un giorno o l’altro. Non è una ragione per pubblicare il numero della carta di credito o lasciare aperta la porta di casa.

La maggior parte degli attacchi del 2025 è stata opportunistica. Se è facile, quelli sono i primi bersagli: quelli a cui un attaccante va per le informazioni e, soprattutto, per i soldi. È esattamente per questo che conviene fare attenzione. Non fino ad ammalarsi, ma fino a un livello di comfort con cui si può vivere proteggendo i dati personali, così da non farsi prendere dal panico quando arriva il giorno. Nel migliore dei casi, sia pronto. Abbia qualcuno da chiamare che possa guidarla, o passi già scritti per il giorno in cui le prendono tutte le password, o i dati bancari. Si prepari, invece di farsi prendere dal panico quando accade.

Niente è davvero sicuro al 100%

Altri colleghi sono partiti dal tetto, poi hanno nominato ciò che avrebbero comunque messo di mezzo.

Niente è davvero sicuro al 100%. L’obiettivo pratico è mettere quanti più ostacoli possibile sulla strada di un attaccante, così che perda interesse e passi oltre.

Nel 2026, una buona VPN e un antivirus su ogni dispositivo contano ancora.

Attivare l’autenticazione a più fattori è una delle cose più efficaci che posso fare per proteggere i miei account.

Una password forte da sola non basta. L’autenticazione a più fattori è essenziale, anche se non può fermare ogni attacco.

La prima risposta fissa il limite: la sicurezza perfetta non è in offerta, quindi il lavoro è l’attrito. Le altre nominano gli strumenti su cui le persone contano ancora sotto quel limite. Una VPN e un antivirus, su ogni dispositivo, ancora nel 2026. L’autenticazione a più fattori come uno dei passi più utili. E, nello stesso respiro, un avvertimento: è essenziale e non è ancora una garanzia.

La domanda per il nostro team di sicurezza: se niente è del tutto sicuro, quali di questi ostacoli cambiano davvero il risultato? Dove una VPN, un antivirus e l’autenticazione a più fattori hanno ancora il loro posto, e dove si chiede loro più di quanto possano fare?

Niente è infallibile. Detto questo, ogni strumento la protegge fino al livello di comfort e di aspettativa che lei fissa. Inizi individuando dove un colpo farebbe più male. Qualcuno che viene a sapere la sua posizione. Un virus che le impedisce di lavorare per due settimane. Perdere i dati bancari e subire una frode. Una volta nominato quel punto debole, aggiunga controlli di sicurezza intorno.

Il minimo è chiaro: una password complessa o una passphrase lunga, e non usare mai la stessa password due volte. Autenticazione a più fattori su ciascuno di quegli account (viva i gestori di password gratuiti). Un antivirus che non rallenta il suo lavoro (sì, esiste quando è configurato bene). Ci metta un po’ di energia, e potrà tornare al caffè o al tè sapendo di essere protetto in proporzione allo sforzo che ha scelto di fare, e di essere a suo agio con il punto a cui è arrivato.

Ingegneria sociale

Diversi colleghi hanno messo il difetto principale sulla persona, non sul prodotto.

La protezione migliore è fare attenzione.

Il difetto principale di ogni sistema informatico è l’essere umano, e quanto regge all’ingegneria sociale.

Il rischio più grande non è mai la tecnologia. È l’abitudine. Investiamo in strumenti sofisticati e dimentichiamo che circa il 90% delle intrusioni inizia ancora con un clic un po’ troppo veloce.

L’ingegneria sociale sarà sempre la porta d’ingresso più grande.

L’essere umano è l’anello centrale.

Una risposta tratta l’attenzione come il controllo vero. Altre chiamano l’ingegneria sociale la porta che resta aperta, e l’essere umano il punto debole che ogni sistema ha ancora.

La domanda per il nostro team di sicurezza: l’ingegneria sociale è ancora la via d’ingresso principale, anche quando gli strumenti sono già al loro posto?

Il phishing è il modo più diffuso per ottenere un accesso, e il phishing è esso stesso una forma di ingegneria sociale. Purtroppo è quello che funziona meglio. Esistono però diversi livelli di attacco. Per un attacco sofisticato, o per un passo avanzato in uno scenario particolare, altre tecniche di ingegneria sociale, oltre al messaggio di phishing, producono più risultati.

Già in vendita nel dark web

Quattro risposte questa volta, tutte sull’informazione personale una volta che non è più solo sua: già in vendita, raggiungibile dall’IA, ancora online dopo una cancellazione, o mai condivisa fin dall’inizio.

Le nostre informazioni personali sono già in vendita nel dark web.

L’IA non potrà mai accedere alle mie informazioni personali senza il mio consenso.

Una volta che qualcosa è messo online, esiste per sempre, anche se viene cancellato dopo. La privacy sparisce online.

Mettere su internet meno informazioni personali possibile è un buon inizio per tenere una vita privata. Questo include l’e-mail, i documenti conservati nel cloud e le conversazioni di messaggistica.

La prima tratta la vendita come un fatto. La sua informazione è già fuori. La seconda dice che il consenso è ciò che tiene l’IA lontana. La terza dice che cancellare un post non lo riprende, quindi la privacy online è già andata. La quarta cerca un’impronta più piccola fin dall’inizio: meno e-mail, meno file nel cloud, meno chat lasciate online.

La domanda per il nostro team di sicurezza: l’informazione personale è già in vendita per una persona qualunque, e cosa significa davvero «già in vendita»? L’IA può raggiungere quei dati senza consenso? Cancellare qualcosa online lo rimuove?

Molte informazioni sono disponibili sui siti degli attaccanti, ma non tutti possono raggiungerle. Ci sono il deep web e il dark web. Il deep web è molto più facile da raggiungere. Se le sue informazioni finiscono nel deep web, i guai arrivano più in fretta e colpiscono più forte. Negli attacchi sofisticati, l’informazione finisce nel dark web e resta nascosta per la maggior parte del tempo, perché vale denaro quando viene rivenduta. Verrà usata, sì. Con buone protezioni, come una protezione del suo dossier creditizio, può reagire, o persino bloccare quelle transazioni fraudolente. Una buona protezione non è mai qualcosa da saltare: le risparmia un sacco di guai.

Se l’impostazione è su off, l’app si ferma

Un collega ha messo la sua fiducia in una casella che era proprio lì: l’ha disattivata e, nella sua testa, l’app deve obbedire.

Se metto un’impostazione su OFF, non c’è modo che l’app continui a farlo. Giusto?

Un’impostazione su off dovrebbe voler dire qualcosa. Il mito è trattare l’interruttore come tutta la storia.

La domanda per il nostro team di sicurezza: quando quell’impostazione è spenta, cosa può ancora fare l’app?

Se la funzione dell’applicazione è su off, l’applicazione non può eseguire l’azione che lei ha disattivato. Abbiamo però visto spesso, negli strumenti (soprattutto SaaS), funzioni di opt-out diventare opt-in. Legga le note di versione, o controlli con regolarità, per confermare che i controlli di sicurezza che ha messo sono ancora al loro posto. La maggior parte delle aziende è attenta alla sicurezza e non la metterà a rischio senza dirglielo in modo chiaro e preciso.

Non fidarsi di nessuno

Un collega ha risposto con una regola, non con un mito: non si fidi di niente di ciò che le dicono, lo verifichi, tenga un backup ed esegua il servizio lei stesso.

Non fidarsi di nessuno, verificare sempre, fare il backup di tutto, fare self-hosting.

È un intero modo di stare online: dubitare del messaggio, controllarlo altrove, tenere una copia e tenere il servizio nelle proprie mani. Una regola rigida si può ancora seguire oltre il punto in cui aiuta.

La domanda per il nostro team di sicurezza: dove regge «non fidarsi di nessuno, verificare sempre, fare il backup di tutto, fare self-hosting» per una persona, e dove crea un problema nuovo?

La diligenza batte la convinzione, ovviamente. Un controllo di qualche minuto può far risparmiare a un’azienda diverse migliaia di dollari. Un backup fatto bene significa un backup del backup, tenuto fuori dall’azienda, senza un percorso di ritorno a quella copia dall’azienda. È ciò che serve per una copia davvero al sicuro. L’hosting locale è più sicuro solo se lei ha controlli di protezione più forti sulla propria piattaforma. Un server locale che apre su internet senza un WAF di alto livello davanti non è una grande protezione. Di certo non è più forte di un’azienda che vende un prodotto SaaS e mette diversi strati di protezione sopra l’applicazione, strati pensati per proteggere i suoi dati. Detto questo, un server locale con accesso solo locale è molto più protetto di qualunque cosa esposta a internet. Quella parte è certa.

Se c’è una sola cosa da ricordare

Nelle sette risposte, lo schema è lo stesso. Nessun controllo, da solo, finisce il lavoro, e nessuno è inutile. Una password lunga, l’autenticazione a più fattori, un antivirus, un backup e un’impostazione spenta reggono ciascuno fino a un certo punto. Ciò che torna è l’attenzione: dove digita una password, se un controllo è ancora attivo e chi chiama quando qualcosa va storto, come lo ha messo David Grandolfo con le sue parole:

La cybersicurezza non poggia su un solo strumento, né su una promessa di protezione perfetta. Poggia su abitudini semplici, applicate con costanza. Usi password lunghe e uniche in un gestore di password, attivi l’autenticazione a più fattori, tenga i dispositivi aggiornati e resti attento prima di fare clic, accedere o condividere un’informazione. L’antivirus, una VPN, i backup e le impostazioni di privacy aggiungono strati utili, ma non sostituiscono né il suo giudizio né un minimo di preparazione se capita un incidente. Gli attacchi vanno spesso verso le occasioni facili. Rendere l’attacco più difficile, controllare ciò che sembra insolito e sapere a chi rivolgersi quando qualcosa non torna: questa resta la difesa migliore.