Steven LafortuneL’azienda di gestione delle password NordPass ha pubblicato i risultati del suo sondaggio annuale sulle 200 password aziendali più comuni al mondo nel 2024. Anche questa volta, al primo posto si trova il vecchio classico che fa infuriare i professionisti IT, ma ispira gli hacker: 123456.
Ormai al suo sesto anno, il sondaggio NordPass ha analizzato le password esposte da malware o in violazioni di dati. In totale, i ricercatori hanno esaminato circa 2,5 TB di dati provenienti da utenti in 44 paesi. Si tratta del quinto anno consecutivo in cui 123456 risulta essere la password aziendale più comune. È stata anche la password personale più comune.
Il resto della top 10
Se la password aziendale più comune al primo posto è sorprendentemente poco sicura, c’è qualche speranza che le altre voci della top 10 siano migliori nel respingere gli hacker (e nell’abbassare la pressione sanguigna dei professionisti IT)? No. Ecco, in tutto il suo orrore, il resto della top 10:
2 - 123456789
3 - 12345678
4 - secret
5 - password
6 - qwerty123
7 - qwerty1
8 - 111111
9 - 123123
10 - 1234567890
I ricercatori di NordPass affermano che tutte le prime 10 password aziendali più usate richiederebbero agli hacker meno di un secondo per essere violate. Di fatto, l’unica password aziendale nella top 70 che richiederebbe agli hacker più di 10 secondi per essere violata è la numero 28: TimeLord12, che richiederebbe circa cinque giorni (certo, è meglio, ma nemmeno il Dr. Who scegliebbe qualcosa di così poco sicuro per il TARDIS).
La crisi delle password debab continua
Le password debab continuano a rappresentare una grande vulnerabilità per le organizzazioni, e un grande business per gli hacker. Nonostante i progressi nelle best practice di cybersecurity, delle politiche aziendali sulle password carenti restano un punto di accesso primario per gli attacchi. Il Threat Horizons Report 2025 di Google Cloud ha dichiarato che le vulnerabilità legate alle credenziali, come password poco sicure e facili da violare, continuano a essere il punto di accesso più comune per gli hacker. E il Cost of a Data Breach Report 2024 di IBM ha rivelato che il costo medio globale di una violazione di dati è salito a 4,88 milioni di dollari USA per incidente, con un aumento del 10% rispetto al 2023, il totale più alto di sempre.
Ridurre il rischio
I professionisti IT che hanno il sospetto — o peggio, la prova evidente — che alcuni utenti finali della loro organizzazione debbano urgentemente correggere le proprie abitudini in materia di password non devono disperare. È vero, la situazione attuale può essere preoccupante (o addirittura terrificante). Ma esistono diversi modi per ridurre il rischio, colmare il divario e tenere gli hacker fuori dalla porta. Ecco alcuni consigli:
-
Richiedere che gli utenti scelgano passphrase più lunghe invece di password. Sono generalmente più facili da ricordare per gli utenti, ma più difficili da violare per gli hacker.
-
Applicare l’autenticazione a due fattori (2FA) o a più fattori (MFA) come parte di una strategia più ampia di identity and access management (IAM). Sebbene 2FA/MFA non siano infallibili al 100%, dovrebbero essere un requisito obbligatorio per rafforzare la protezione degli account e riducere la vulnerabilità.
-
Utilizzare un gestore di password affidabile che offra le funzionalità principali, specialmente se fa parte di un team IT o di un managed service provider (MSP) che desidera potenziare la protezione delle password aziendali. Tra queste funzionalità: conservazione e condivisione sicura delle password, generazione di password sicure, analisi delle password candidate rispetto a un elenco di password compromesse note, controllo degli accessi basato sui ruoli, applicazione delle politiche sulla cronologia delle password e reportistica/logging avanzati.
-
Implementare la gestione degli account privilegiati (PAM) che offra funzionalità principali quali: rotazione automatica/pianificata delle password, sincronizzazione automatica delle password (nota anche come propagazione delle password), approvazione delle richieste di checkout, accesso just-in-time per gli account privilegiati e audit completo.
-
Fornire agli utenti una formazione sulla cybersecurity, affinché comprendano l’importanza di scegliere password forti e univoche (o meglio ancora, passphrase) e dimostrino costantemente buone abitudini generali nella gestione delle password. Gli utenti devono comprendere e accettare che devono essere parte attiva della soluzione di cybersecurity dell’organizzazione, altrimenti rischiano di contribuire involontariamente al problema.
Uno sguardo al futuro
Gli idealisti tra noi potrebbero sperare che, all’inizio del prossimo anno, quando osserveremo la lista NordPass 2025 delle password aziendali più comuni, vedremo una trasformazione completa da password sorprendentemente debab a password sorprendentemente forti. Ma i realisti tra noi pensano — e diciamocelo, sanno — diversamente. La sola vera sorpresa potrebbe essere che 123456 passi dal primo al secondo posto (ma probabilmente non accadrà nemmeno questo).
Per questo motivo, spetta ai leader e ai responsabili delle decisioni ASCOLTARE i professionisti IT della propria organizzazione e garantire che siano in atto strumenti, prassi e politiche in grado di guidare una gestione delle password solida, efficace e conforme.
L’alternativa è ignorare il problema e sperare che vada tutto bene. Questo tipo di mentalità e approccio non è strategico. Al contrario, è un segnale che invita i malintenzionati a passare all’azione e iniziare ad attaccare.
Devolutions può aiutare
Devolutions può aiutare la sua organizzazione a trasformare la gestione delle password da un punto debole in un punto di forza, grazie a strumenti potenti pensati per i team IT moderni! Sia la nostra soluzione di gestione delle password on-premise Devolutions Server, sia la nostra soluzione di gestione delle password basata sul cloud Devolutions Cloud, sono altamente sicure, facili da usare, ricche di funzionalità, perfette per la gestione degli accessi privilegiati (PAM) e affiancate da versatili strumenti e app complementari.
E se non è sicuro di ciò di cui ha bisogno o da dove iniziare, non deve preoccuparsi. Offriamo consulenze gratuite per aiutarla a concentrarsi su ciò che conta davvero. Offriamo anche prove gratuite di 30 giorni e diverse opzioni di licenza adatte a ogni budget.