Steven LafortuneL’edizione 2025 del report di NordPass “Top 200 Most Common Passwords” è ora disponibile. Le password debili e prevedibili restano in uso ovunque, e gli stessi schemi familiari continuano a riemergere.
Informazioni sul report
Il report di quest’anno si basa su uno sforzo congiunto di NordPass e NordStellar, realizzato in collaborazione con ricercatori indipendenti specializzati in incidenti di cybersicurezza. Sono state analizzate le recenti violazioni di dati pubbliche e i repository del dark web dal settembre 2024 al settembre 2025, per poi organizzare i risultati provenienti da 44 paesi. Per la prima volta, è stata analizzata anche l’abitudine alle password in base alla generazione, utilizzando i metadati disponibili per associare le password alle fasce di età.
La top 10
“123456” guida ancora una volta la classifica globale delle password più comuni. Ha mantenuto questo dubbio primato per sei degli ultimi sette anni. A completare la top 10 troviamo:
- admin
- 12345678
- 123456789
- 12345
- password
- Aa123455
- 1234567890
- pass@123
- admin123
Gli schemi che continuano a comparire
Non serve un team di analisti per notare che alcuni schemi e temi emergono con chiarezza:
- Sequenze numeriche crescenti: 12345, 123456, 12345678, 1234567890
- Parole comuni e varianti: “password”, “pass”
- Nomi seguiti da numeri: combinazioni del tipo “nome + 123”
- “Falsa complessità”: sostituzione di lettere con simboli in modi prevedibili (ad esempio, “P@ssw0rd”)
Le password scadenti non hanno età
Una delle scoperte più interessanti del report è quanto siano simili le scelte delle password tra le diverse fasce d’età. I ricercatori hanno riscontrato che la scelta di password scadenti è comune a tutte le generazioni, e che “12345” e “123456” compaiono ai primi posti o quasi in ogni gruppo.
Tenendo presente questo, osservare le differenze generazionali risulta interessante, perché suggerisce il motivo per cui le password debili persistono:
- La Gen Z è quella più propensa ad attingere alla cultura pop e allo slang online per le password (ad esempio, “skibidi”).
- I Millennial e la Gen X non sono altrettanto disinvolti quanto i loro omologhi della Gen Z, ma si affidano comunque a strutture prevedibili e spesso cercano di soddisfare le regole delle password con il minimo sforzo (ad esempio, “Aa123455” o “pass@123”).
- I Boomer e gli utenti più anziani tendono maggiormente a utilizzare parole familiari, nomi o semplici sequenze numeriche. Ciò potrebbe rispecchiare una preferenza per la comodità e la facilità di memorizzazione rispetto alla complessità.
La conclusione non è che una generazione sia “peggiore” di un’altra per quanto riguarda le scelte e le abitudini in materia di password. È che ogni generazione ha la propria versione della stessa strategia di adattamento: in generale, le persone scelgono ciò che riescono a ricordare, e lo fanno in modi facili da indovinare. Questo approccio non regge bene contro gli attacchi di indovinamento moderni, soprattutto quando gli attaccanti possono provare rapidamente enormi volumi di password plausibili, per poi riutilizzare ciò che funziona tramite il credential stuffing su altri siti.
La strada da seguire
Come molti professionisti IT sanno per esperienza diretta (e poco piacevole), se la soluzione a questo problema diffuso si basa sull’improvviso e drastico miglioramento delle abitudini degli utenti finali in materia di password, allora è destinata a fallire. Gli utenti finali sono stati, sono e saranno sempre l’anello più debole della catena di sicurezza, e le password restano il vettore più vulnerabile della superficie di attacco. Aspettarsi che questo cambi non è una best practice: è pura illusione.
Per questo motivo, l’attenzione dovrebbe concentrarsi su politiche e strumenti in grado di prevenire le scelte peggiori, rendere il più semplice possibile adottare buone scelte e abitudini, e limitare i danni quando gli attaccanti inevitabilmente riescono a superare le difese. Ecco sei strategie per colmare questa lacuna e ridurre il rischio:
1. Rendere semplice fin dalla progettazione l’uso di credenziali complesse
Consentire password lunghe e passphrase, evitando regole di complessità rigide che spingono le persone verso schemi prevedibili (come “pass@123” o “Aa123455”). Abbinare questo a indicazioni chiare, come “usi una breve frase che riesce a ricordare”, per favorire password più solide riducendo la frustrazione.
2. Bloccare le password scadenti conosciute prima che vengano impostate
Implementare controlli sulle password vietate che rifiutano le password più comuni e compromesse, incluse le loro varianti. Questo blocca all’origine password come “123456”, “password” e “admin123”, e impedisce agli utenti di selezionare qualcosa che gli attaccanti sono già in grado di indovinare.
3. Imporre l’unicità e ridurre il riutilizzo con un gestore di password
Rendere le password univoche un requisito non negoziabile, supportandolo con un gestore di password in modo che gli utenti non debbano memorizzare decine di credenziali di accesso. Questo è uno dei metodi più efficaci per contrastare il credential stuffing.
4. Adottare l’autenticazione a più fattori (MFA)
Se implementare l’MFA ovunque risulta al momento un progetto troppo ambizioso, è opportuno dare priorità agli account amministrativi, ai sistemi finanziari, alle piattaforme HR e all’accesso remoto. In genere, sono questi gli account presi di mira dagli attaccanti per causare il massimo danno.
5. Individuare e correggere rapidamente le esposizioni
Sostituire rapidamente le credenziali debili o riutilizzate conosciute, in particolare per gli account privilegiati e ad alto impatto (come indicato al punto 4). Abbinare questa misura al monitoraggio delle credenziali compromesse e ad avvisi che segnalano quando una password riutilizzata compare in dati trafugati, in modo da poterla reimpostare prima che gli attaccanti ne approfittino.
6. Ridurre progressivamente l’uso delle password con accessi resistenti al phishing
Dove ha senso, passi alle passkey. Questo elimina il segreto riutilizzabile dall’equazione e rende molto più difficile per gli attaccanti sottrarre qualcosa che possano riutilizzare altrove.
L’ultima parola
L’ultimo elenco di NordPass delle password più comuni non è preoccupante perché sorprendente. È allarmante perché è familiare. Quando le organizzazioni si concentrano sulla riduzione degli attriti, sulla standardizzazione dei controlli adeguati e sulla stratificazione di protezioni come l’MFA e le passkey, smettono di puntare su un comportamento perfetto degli utenti e iniziano a costruire una resilienza reale.