Le 50 password più comuni e i loro rischi

Scopri le 50 password più usate del 2024 secondo NordPass e perché mettono a rischio milioni di account ogni giorno.

Ti è mai capitato di creare un nuovo account online e, davanti al campo “Scegli la tua password”, cedere alla tentazione di usare sempre la stessa? Magari una combinazione facile da ricordare, come password123, il nome del tuo cane o una data importante. Semplice, certo. Ma anche rischiosissimo.

1. Qual’è la password più utilizzata al mondo?
2. Come gli hacker violano le password
3. Linee guida per creare password robuste

Le password troppo deboli o riutilizzate su più piattaforme rappresentano una delle principali falle di sicurezza informatica. Hacker e cybercriminali sfruttano proprio queste abitudini per violare caselle e-mail, account bancari e profili social, con conseguenze che vanno dal furto d’identità alla compromissione totale dei dati personali.
Tecniche come il password spraying e il credential stuffing funzionano proprio perché milioni di utenti nel mondo utilizzano combinazioni prevedibili. Gli attacchi subiti da aziende come Microsoft e 23andMe ne sono la prova: una sola password debole può mettere in ginocchio interi sistemi.

In questo articolo vedremo quali sono le password più diffuse e deboli che ogni anno finiscono nel mirino degli attaccanti. Preparati: l’elenco è sconfortante.

Qual è la password più utilizzata al mondo?

Che le password robuste siano fondamentali è ormai un dato di fatto. Tuttavia, molte persone continuano a utilizzare combinazioni deboli e facilmente intuibili. Tra tutte, la più abusata a livello globale è la sequenza “123456” , che da anni occupa stabilmente la vetta delle classifiche. Lo conferma anche il rapporto 2024 di Nord Security, secondo cui questa stringa è stata la più diffusa per quattro anni su cinque.

Il dato che preoccupa? Secondo l’analisi condotta da NordPass, circa il 70% delle password presenti nella classifica 2024 può essere decifrato in meno di un secondo. Questo perché gli attacchi brute-force, che testano automaticamente migliaia di combinazioni, si basano su elenchi precompilati che includono proprio le password più comuni.

Le 50 password più diffuse nel 2024

Ecco un estratto delle password più frequenti emerse dal rapporto. Vere e proprie chiavi universali per chi tenta di accedere ai nostri account in modo illecito:

1. 123456
2. admin
3. 12345678
4. 123456789
5. 1234
6. 12345
7. password
8. 123
9. Aa123456
10. 1234567890
11. 1234567
12. 123123
13. 111111
14. Password
15. 12345678910
16. 000000
17. admin123
18. 1111
19. P@ssw0rd
20. root
21. 654321
22. qwerty
23. Pass@123
24. 112233
25. 102030
26. ubnt
27. abc123
28. Aa@123456
29. abcd1234
30. 1q2w3e4r
31. 123321
32. qwertyuiop
33. 87654321
34. 987654321
35. Eliska81
36. 123123123
37. 11223344
38. 0987654321
39. demo
40. 12341234
41. qwerty123
42. Admin@123
43. 1q2w3e4r5t
44. 11111111
45. pass
46. Demo@123
47. azerty
48. admintelecom
49. Admin
50. 123meklozed

Come si evince dall’elenco, molte delle password più vulnerabili sono sequenze numeriche prevedibili, parole comuni e combinazioni basilari con maiuscole e simboli, usati sempre nella stessa posizione.

I rischi legati alle password deboli

Utilizzare queste credenziali può esporre a furti di identità, accessi non autorizzati a conti bancari o profili social, e in generale a una compromissione totale della propria presenza digitale. Inoltre, se la stessa password viene usata su più servizi, basta una sola violazione per causare danni a catena: è ciò che accade con gli attacchi di credential stuffing, che sfruttano dati già trafugati per accedere ad altri account.

Non meno preoccupante è l’uso di password predefinite: combinazioni come “admin”, “root” o “demo” sono spesso lasciate inalterate dopo l’installazione di router, NAS o dispositivi IoT, diventando un bersaglio facile per qualsiasi scansione automatizzata.

Influenze culturali e sociali

Il fenomeno ha anche connotazioni locali. In Italia e nel Regno Unito, ad esempio, si riscontra un uso frequente di nomi legati a squadre di calcio, celebrità o eventi nazionali come parte delle credenziali. Inoltre, molti utenti continuano a includere nomi di familiari, animali domestici o date di nascita, informazioni spesso reperibili pubblicamente attraverso i social network.

La combinazione tra abitudini prevedibili e sovraesposizione online rende più semplice il lavoro degli attaccanti, soprattutto quelli che impiegano tecniche di social engineering per personalizzare gli attacchi.

Come gli hacker violano le password

Scegliere una password robusta è il primo passo per proteggere i propri account. Tuttavia, da sola non basta. I cybercriminali dispongono infatti di diverse tecniche sofisticate per forzare l’accesso ai profili digitali. Di seguito le più diffuse:

Brute-force

Si tratta di un metodo trial and error, in cui gli hacker testano sistematicamente tutte le possibili combinazioni di caratteri. Da “000000” a “zzzzzz“. È particolarmente efficace contro password brevi o prive di complessità. L’uso di bot automatizzati rende il processo estremamente veloce.

Attacco a dizionario

A differenza del brute-force, questo metodo impiega elenchi precompilati contenenti password comuni o varianti prevedibili, come ad esempio “password“, “qwerty“, “P@ssw0rd“. L’obiettivo è puntare su combinazioni plausibili anziché testarle tutte.

Rainbow Tables

Le rainbow tables mappano gli hash crittografici alle rispettive password in chiaro. Molto spesso questi hash presentano delle stringhe casuali aggiuntive, applicate alle password prima della cifratura, dette salt. Se gli hash non sono stati “salati”, questa tecnica consente di risalire rapidamente alla password originale.

Credential stuffing

Consiste nell’utilizzare coppie di credenziali rubate da una violazione (e-mail e password) per tentare l’accesso a più servizi. Funziona in modo particolarmente efficace nei casi in cui l’utente ha riutilizzato la stessa password su piattaforme differenti.

Social engineering

Tecniche di manipolazione psicologica finalizzate a ottenere informazioni riservate. Comprende il phishing (e-mail o messaggi ingannevoli) e il pretexting (finte richieste da parte di figure autorevoli o conosciute).

Password spraying

Strategia opposta al brute-force. Invece di provare molte password su un singolo account, si tenta l’accesso con poche password comuni su un numero elevato di account. In questo modo si evitano blocchi per eccessivi tentativi su uno stesso profilo.

Linee guida per creare password robusta

Una buona password è il primo baluardo di difesa contro furti d’identità e accessi non autorizzati. Per questo motivo, è fondamentale seguire alcune regole pratiche e universali:

• Scegliere una password lunga e complessa.
  Una password efficace dovrebbe essere lunga almeno 12-16 caratteri e contenere lettere maiuscole, minuscole, numeri e simboli disposti in modo non prevedibile. Evita schemi sequenziali o aggiunte scontate come “1” o “!“. Una password come T7#mQ$9vRn2&Ks rappresenta un ostacolo concreto agli attacchi brute-force.
• Utilizzare una passphrase casuale.
  Le passphrase sono sequenze di parole casuali come CieloArancioneTramontoLago. Più lunghe di una password tradizionale (almeno 20 caratteri), ma più facili da ricordare, offrono un ottimo compromesso tra memorizzabilità e sicurezza, purché non contengano riferimenti personali o citazioni note.
• Evitare parole comuni e schemi prevedibili.
  Poiché password comuni e banali, come “123456“, sono fra le prime testate nei dizionari degli attaccanti, è meglio optare per combinazioni senza logica apparente. Un esempio è V8!xLp#eW2sD, generata attraverso un password manager certificato.
• Usare una password diversa per ogni account.
  Il riutilizzo delle password è uno degli errori più comuni e pericolosi. Una violazione su un singolo servizio può compromettere tutti gli account che condividono la stessa credenziale. Ecco perché è essenziale crearne una diversa per ogni servizio importante.
• Attivare sempre l’autenticazione in due fattori (2FA).
  Dato che anche la password più forte può essere violata, si rende necessario impiegare la 2FA. Essa aggiunge un ulteriore livello di protezione, attraverso un codice temporaneo via app o SMS, un token fisico, o un dato biometrico.
• Impiegare un password manager.
  I password manager permettono di generare, archiviare e gestire password complesse per ogni servizio. I dati sono cifrati all’interno di un vault sicuro, accessibile solo con una master password. Alcuni strumenti includono anche notifiche per password compromesse o deboli.