Molti utenti affidano ancora la protezione di account personali, professionali e finanziari a password create diversi anni fa, talvolta durante l’infanzia o l’adolescenza. Il problema non riguarda soltanto le generazioni meno abituate alle tecnologie digitali: secondo una ricerca di NordPass, gli utenti tra i 18 e i 24 anni risultano i meno propensi a sostituire le proprie credenziali più datate.
Lo studio ha coinvolto 7.861 persone tra i 18 e i 74 anni residenti in Australia, Canada, Francia, Germania, Italia, Spagna, Regno Unito e Stati Uniti. A livello globale, il 54% degli intervistati ha modificato la propria password più vecchia nel corso degli ultimi dodici mesi. Una parte significativa del campione, però, conserva credenziali create molti anni prima.
Il 6% degli utenti non ha mai cambiato la password più vecchia
Dai dati diffusi da NordPass emerge che circa il 15% degli intervistati ha aggiornato la propria password più datata negli ultimi tre anni, mentre l’8% lo ha fatto in un periodo compreso tra tre e cinque anni fa.
Il 4% utilizza ancora credenziali che risalgono a un periodo compreso tra cinque e dieci anni fa, mentre il 3% conserva password create oltre un decennio prima. Il dato più critico riguarda il 6% degli adulti, che dichiara di non avere mai modificato la password più vecchia.
L’età della credenziale, tuttavia, non rappresenta da sola una prova della sua debolezza. Il rischio cresce soprattutto quando la password:
- contiene nomi, date o informazioni personali;
- compare in precedenti violazioni di dati;
- viene usata per più servizi;
- segue sequenze prevedibili;
- protegge account privi di autenticazione a più fattori.
Una credenziale scelta durante l’infanzia potrebbe contenere il nome di un animale domestico, una squadra, una data di nascita o altri elementi facili da ricostruire attraverso social network e informazioni pubbliche. Se la stessa combinazione protegge ancora posta elettronica, servizi bancari o account professionali, un’eventuale compromissione può avere conseguenze molto più gravi rispetto al momento della sua creazione.
Gli italiani cambiano le password più spesso
Tra gli otto Paesi coinvolti nella ricerca, l’Italia registra la percentuale più alta di modifiche recenti. Il 65% degli intervistati italiani dichiara di avere aggiornato la propria password più vecchia nell’ultimo anno.
Soltanto l’1% conserva una credenziale che non cambia da oltre dieci anni, mentre il 4% afferma di non averla mai sostituita. Il dato colloca gli italiani davanti agli utenti degli altri Paesi analizzati, almeno per quanto riguarda la frequenza degli aggiornamenti.
L’indagine evidenzia però un altro elemento: gli italiani ricorrono spesso ai sistemi di salvataggio integrati nei browser e risultano tra gli utenti meno propensi a scegliere un gestore password indipendente. In media, circa il 40% del campione internazionale conserva le credenziali nel password manager del proprio browser.
La Germania presenta il tasso più basso di modifiche recenti, pari al 47%. Negli Stati Uniti, invece, il 14% degli intervistati non ricorda quando ha cambiato per l’ultima volta la propria password più vecchia.
La Generazione Z aggiorna meno spesso le credenziali
Uno dei risultati più rilevanti riguarda il comportamento degli utenti più giovani. Le persone tra i 18 e i 24 anni risultano le meno propense a cambiare la password più datata entro un anno e le più inclini a dichiarare di non averla mai modificata.
La frequenza degli aggiornamenti cresce con l’età e raggiunge il valore più alto nella fascia compresa tra i 55 e i 64 anni. Gli utenti più anziani modificano le credenziali più spesso, ma tendono anche a conservarle attraverso la memoria o su supporti cartacei. I più giovani preferiscono invece i browser e gli strumenti digitali. Nessuna delle due fasce applica sempre tutte le pratiche consigliate.
È opportuno precisare che la ricerca associa alla Generazione Z la fascia tra 18 e 24 anni, mentre questa definizione comprende in genere anche persone di età superiore. Il risultato descrive quindi la parte più giovane della generazione presente nel campione, non tutti i nati dal 1997 in poi.
La precedente classifica NordPass sulle 200 password più comuni aveva già rilevato abitudini simili tra le diverse generazioni. Sequenze come “12345” e “123456” occupano le prime posizioni sia tra i giovani sia tra gli utenti più anziani. Tra le preferenze della Generazione Z compaiono anche parole legate alle tendenze della cultura digitale, ma spesso associate a strutture semplici e prevedibili.
Una password vecchia deve essere cambiata?
La ricerca concentra l’attenzione sull’età delle password, ma le indicazioni tecniche più recenti distinguono tra anzianità e compromissione.
Le linee guida NIST non raccomandano la sostituzione periodica obbligatoria delle password in assenza di segnali di compromissione. I cambi frequenti e arbitrari possono spingere gli utenti a scegliere varianti prevedibili, per esempio tramite la modifica di un numero o di un carattere alla fine della stessa parola.
La sostituzione diventa invece necessaria quando la credenziale:
- è presente in una fuga di dati;
- protegge più account;
- risulta debole o prevedibile;
- è stata condivisa con altre persone;
- appartiene a un account che mostra accessi sospetti;
- deriva da informazioni personali facilmente reperibili.
Le linee guida NIST indicano inoltre una lunghezza minima di 15 caratteri per le password usate come unico fattore di autenticazione. Raccomandano anche il confronto con elenchi di credenziali comuni o compromesse e il supporto ai password manager.
Come proteggere gli account più importanti
Il primo passo consiste nel controllare le credenziali associate alla posta elettronica principale, ai servizi bancari, ai social network, agli archivi cloud e agli strumenti professionali.
Ogni account dovrebbe possedere una password lunga e unica. Il riutilizzo rappresenta uno dei rischi principali: se un servizio subisce una violazione, i criminali possono provare la stessa coppia di indirizzo email e password su numerose piattaforme attraverso attacchi di credential stuffing.
Un password manager permette di creare e conservare combinazioni casuali senza richiedere la memorizzazione di ogni credenziale. L’account principale del gestore deve però avere una password robusta e l’autenticazione a più fattori.
Per gli account che lo consentono, le passkey offrono un’alternativa alle password tradizionali. Questo sistema usa chiavi crittografiche e può richiedere lo sblocco tramite impronta digitale, riconoscimento del volto o PIN del dispositivo.
L’autenticazione a più fattori resta essenziale anche in presenza di una password forte. Un secondo controllo può ostacolare l’accesso non autorizzato quando la credenziale principale finisce nelle mani di un attaccante. La CISA raccomanda l’uso congiunto di password robuste e MFA per gli account personali e aziendali.
