Le tue password sul dark web

Miliardi di password finiscono sul dark web ogni anno. Vediamo come ci arrivano, quanto valgono e come proteggere i vostri account aziendali.

Nel giugno 2025 un gruppo di ricercatori ha scoperto trenta database lasciati accessibili online senza alcuna protezione. Contenevano circa sedici miliardi di credenziali tra e-mail, username e password, raccolte da violazioni precedenti e da attacchi recenti: la più grande aggregazione di dati di accesso mai documentata. Per dare la misura, Have I Been Pwned — il servizio che cataloga le violazioni note — conta poco più di quattordici miliardi di account in tutto il suo archivio storico.

Questi numeri portano a una conclusione scomoda: possiamo ormai dare per scontato che almeno una delle nostre password sia già finita in qualche database clandestino. La domanda giusta non è più come ci sia arrivata, ma cosa possiamo fare prima che qualcuno la usi. Andiamo con ordine.

1. Come finisce una password sul dark web
2. Il mercato delle credenziali rubate
3. Come scoprire se le vostre password sono esposte
4. Come proteggersi davvero

Come finisce una password sul dark web

Una credenziale arriva sui mercati clandestini attraverso tre canali principali, molto diversi tra loro per meccanica e per difese possibili. Il primo, oggi il più importante, è il malware infostealer: programmi che si installano silenziosamente su un dispositivo, spesso nascosti dentro software pirata, crack di videogiochi, falsi aggiornamenti o allegati infetti. Una volta attivi, aspirano tutto quello che trovano: password salvate nel browser, cookie di sessione, dati di compilazione automatica, a volte i wallet di criptovalute. Famiglie come RedLine, Lumma e Vidar hanno trasformato questo furto in un’industria. E il problema non resta confinato al dispositivo personale: se un dipendente usa il portatile di casa infetto per accedere alla posta aziendale, quelle credenziali partono con tutte le altre.

Il secondo canale è il data breach, la violazione diretta di un servizio online. Quando un sito subisce un’intrusione, l’intero archivio di utenti e password può finire pubblicato o messo in vendita. Anche se il servizio conserva le password in forma cifrata, gli attaccanti dispongono di tempo e potenza di calcolo per decifrare le combinazioni più deboli. Il terzo canale è il phishing, la cara vecchia esca che spinge l’utente a digitare di sua mano le credenziali su una pagina costruita per somigliare a un portale legittimo. Resta efficace perché non aggredisce la tecnologia ma la persona: nessun sistema di cifratura protegge una password consegnata volontariamente all’attaccante.

A monte di tutti e tre i canali c’è una costante che le aziende sottovalutano: il confine tra dispositivo personale e aziendale è ormai poroso. Lo smartphone su cui si legge la posta di lavoro, il portatile di casa usato in smart working, l’account personale riciclato per un servizio aziendale — ognuno di questi è un ponte attraverso cui una credenziale privata compromessa diventa un problema per l’organizzazione. È il motivo per cui il tema riguarda anche chi pensa di avere “niente di importante” da proteggere.

Il mercato delle credenziali rubate

Una volta rubata, una credenziale entra in un’economia che funziona con logiche di mercato precise, in cui i dati non restano fermi a lungo. Europol, nelle sue valutazioni periodiche sulla criminalità organizzata online, ribadisce che le credenziali rubate vengono monetizzate nell’arco di ore o pochi giorni dalla violazione: la velocità è essa stessa parte del modello di business.

Sui forum e nei marketplace clandestini esiste un vero e proprio listino. Una singola coppia e-mail e password vale pochi euro, di più se la violazione è recente e quindi probabilmente ancora valida; un pacchetto di identità completo, con nome, indirizzo e dati anagrafici, vale qualche decina di euro. Ma il prodotto più pregiato sono sempre gli accessi aziendali. Una credenziale VPN o RDP funzionante verso la rete di un’azienda può valere diverse migliaia di euro. A comprarla sono spesso gli Initial Access Broker, intermediari specializzati che acquistano accessi aziendali per poi rivenderli ai gruppi ransomware. Un singolo accesso VPN a un’impresa di medie dimensioni è frequentemente il punto di partenza di un attacco che si conclude con la cifratura dell’intera infrastruttura e una richiesta di riscatto.

Il passaggio finale è quasi sempre il credential stuffing: gli attaccanti prendono le combinazioni rubate e le provano automaticamente su decine di altri servizi, scommettendo sul fatto che la vittima abbia riutilizzato la stessa password altrove. Ed è qui il punto che molti sottovalutano. Il problema non è tanto la singola password rubata da un servizio secondario, quanto il riutilizzo della stessa credenziale sulla posta aziendale, sul gestionale o sull’home banking. Una password violata su un forum di hobbisti diventa la chiave di un conto corrente solo perché è la stessa.

Come scoprire se le vostre password sono esposte

Verificare la propria esposizione è oggi alla portata di chiunque. Lo strumento più noto è Have I Been Pwned, un servizio gratuito che raccoglie i database delle violazioni note: basta inserire un indirizzo e-mail per sapere in quali violazioni documentate compare. Il servizio non chiede né conserva password — lavora solo sull’incrocio degli indirizzi — quindi non introduce a sua volta un rischio. Molti browser hanno integrato una funzione analoga che avvisa quando una password salvata risulta presente in un data breach noto, e lo stesso fanno i gestori di password più diffusi. Abbiamo dedicato una guida pratica proprio a questo, su come scoprire se le proprie credenziali sono esposte sul dark web e cosa fare se le si trova.

Questi strumenti hanno però un limite evidente: vedono solo le violazioni già emerse e catalogate. Le credenziali sottratte da un infostealer e vendute in un canale privato possono circolare per mesi senza comparire in alcun archivio pubblico. Per questo, sul fronte aziendale, occorre un monitoraggio del dark web continuativo: un presidio che sorvegli forum, marketplace e canali Telegram alla ricerca di credenziali aziendali in vendita, così da poterle invalidare prima che vengano sfruttate.

Come proteggersi davvero

Nessuna singola misura azzera il rischio. La protezione reale nasce dalla combinazione di alcune pratiche, ognuna delle quali chiude una delle vie che abbiamo visto:

• Usare password diverse per ogni servizio: è la difesa che spezza il credential stuffing alla radice. Se ogni account ha la sua credenziale unica, una password rubata resta un problema circoscritto a quel solo servizio;
• Affidarsi a un password manager: genera e conserva credenziali lunghe e casuali in un vault cifrato, lasciando all’utente una sola password robusta da ricordare, ed elimina in un colpo sia il riutilizzo sia la tentazione delle password deboli;
• Attivare l’autenticazione a più fattori ovunque: anche quando una password viene rubata, il secondo fattore impedisce l’accesso. Secondo Microsoft riduce di oltre il 99% il rischio di compromissione dell’account, e sui sistemi aziendali critici dovrebbe essere obbligatoria;
• Adottare le passkey dove possibile: lo standard FIDO2 e le passkey sostituiscono la password con una coppia di chiavi crittografiche, quindi non esiste più un segreto condiviso da rubare con il phishing. Le varianti legate all’hardware offrono la protezione maggiore, poiché quelle sincronizzate su un account cloud condividono la sorte del dispositivo che le ospita.;
• Curare l’igiene del dispositivo: poiché gli infostealer sono il primo vettore, evitare software pirata, mantenere aggiornato il sistema e usare una protezione endpoint affidabile riduce drasticamente la probabilità che le credenziali vengano aspirate dal browser.

Per un’azienda tutto questo va inquadrato in una visione d’insieme, perché la credenziale di un singolo dipendente è spesso la porta d’ingresso all’intera infrastruttura. Le aziende che vogliono partire da un’analisi del proprio livello di esposizione possono rivolgersi a una consulenza di cyber security dedicata, che individua le aree critiche e definisce le contromisure più adatte alla realtà aziendale.

In conclusione

Le password sul dark web sono una condizione di fondo con cui conviviamo. Con miliardi di credenziali già in circolazione, la differenza non la fa sperare di non essere stati colpiti, ma costruire difese che reggano anche quando una password viene effettivamente rubata. Credenziali uniche, gestore di password, secondo fattore di autenticazione e, sul fronte aziendale, un monitoraggio continuo sono le misure che trasformano un furto di credenziali da catastrofe in semplice fastidio.