Attacco a dizionario: cos’è, come funziona e come difendersi

Tra tutte le tecniche per scoprire una password, l’attacco a dizionario è quella che sfrutta il difetto più umano che ci sia: la prevedibilità. Invece di provare ogni combinazione possibile, l’attaccante prova solo le password che le persone usano davvero — e sono molte meno di quanto si creda. È il motivo per cui “Giulia2024!” cade in pochi secondi nonostante maiuscola, numero e carattere speciale: non è una stringa casuale, è una parola di dizionario con una decorazione prevedibile.

In questa guida vediamo come funziona un attacco a dizionario, da dove vengono i dizionari, in cosa si distingue dal brute force puro e dalle sue varianti, e quali difese lo rendono davvero inefficace.

1. Cos’è un attacco a dizionario
2. Da dove vengono i dizionari
3. Brute force, ibridi e credential stuffing: le differenze
4. L’attacco a dizionario in azienda
5. Le difese che funzionano davvero

Cos’è un attacco a dizionario

L’attacco a dizionario è un’evoluzione del brute force. Il brute force puro prova ogni combinazione possibile di caratteri: funziona sempre, in teoria, ma contro una password lunga richiede tempi che possono superare la durata dell’universo. L’attacco a dizionario ribalta l’approccio: invece di provare tutto, prova un insieme ristretto di stringhe ad alta probabilità — un “dizionario”, appunto — composto da parole comuni, nomi, date, password trapelate da violazioni precedenti e loro variazioni tipiche.

Il presupposto su cui si regge è statistico, ed è solidissimo: la maggior parte delle password non è casuale. Le persone scelgono parole di senso compiuto, nomi di figli e squadre, sequenze di tastiera, e applicano sempre le stesse “furbizie” — la maiuscola iniziale, l’anno in coda, il punto esclamativo finale, la “a” che diventa “@”. Gli strumenti di attacco conoscono ognuno di questi schemi e li applicano automaticamente a ogni parola del dizionario: da “giulia” generano giulia2024, Giulia2024!, G1ulia e migliaia di varianti in frazioni di secondo. L’attacco può avvenire online, tentando i login su un servizio (dove però scattano i blocchi), oppure offline, contro un archivio di password cifrate sottratto in una violazione — lo scenario in cui i dizionari esprimono tutta la loro velocità, provando miliardi di candidati al secondo contro gli hash rubati. Sul perché le password si conservino in forma di hash, e su cosa cambi tra un hash robusto e uno debole, abbiamo dedicato una guida al ruolo dell’hashing nella cybersecurity.

Da dove vengono i dizionari

Il valore di un attacco a dizionario sta tutto nella qualità del dizionario, e qui il tempo ha lavorato per gli attaccanti. I dizionari moderni non sono elenchi di parole italiane o inglesi: sono costruiti sulle **password reali** emerse da vent’anni di violazioni. Ogni grande data breach arricchisce gli elenchi pubblici — il più famoso, RockYou, contiene decine di milioni di password autentiche ed è il punto di partenza di qualsiasi attaccante — e le raccolte aggregate moderne, le combolist alimentate anche dai malware infostealer, ne contengono miliardi.

Questo cambia la natura del problema: l’attaccante non indovina più come *potrebbe* essere fatta una password, sa come *sono* fatte davvero. E i dizionari si personalizzano: per un bersaglio specifico si arricchiscono con nomi dell’azienda, prodotti, sedi, termini del settore — il motivo per cui “NomeAzienda2025!” è tra le prime password che cadono in qualsiasi test.

Brute force, ibridi e credential stuffing: le differenze

Le tecniche di password cracking formano una scala di raffinazione. Il brute force puro prova tutto: lento ma esaustivo. L’attacco a dizionario prova il probabile: veloce ma limitato a ciò che il dizionario contiene. Nel mezzo stanno gli **attacchi ibridi**, che combinano le due cose applicando trasformazioni brute-force alle parole del dizionario (suffissi numerici, sostituzioni di caratteri), e i rainbow table attack, che usano tabelle precalcolate per invertire gli hash più in fretta.

Va distinto il caso del **credential stuffing**, che spesso si confonde col dizionario ma è un’altra cosa: non prova a indovinare la password, riusa coppie email-password già rubate altrove, contando sul fatto che le persone usano la stessa password su più servizi. È la tecnica resa industriale dalle combolist, e l’abbiamo approfondita nella guida sul credential cracking. La differenza pratica è importante: contro il dizionario una password robusta basta; contro lo stuffing serve che sia anche **unica**.

L’attacco a dizionario in azienda

Finora abbiamo ragionato sulla singola persona, ma in un contesto aziendale l’attacco a dizionario cambia posta in gioco. Il bersaglio non è più un account social, ma i punti d’accesso dell’organizzazione: portali VPN, webmail, servizi di desktop remoto, pannelli di amministrazione. Sono le porte che, una volta aperte, danno accesso all’interno del perimetro — e troppo spesso sono protette da password prevedibili quanto quelle personali.

Il problema è aggravato da due fattori tipici delle aziende. Il primo è la personalizzazione del dizionario: per un bersaglio mirato, l’attaccante arricchisce gli elenchi con il nome dell’azienda, dei prodotti, delle sedi e dei reparti, ed è il motivo per cui una password come “NomeAzienda2025!” è tra le prime a cadere in qualsiasi test di sicurezza. Il secondo è la scala: basta che un solo dipendente su decine usi una password debole su un servizio esposto perché l’intera rete diventi raggiungibile. Non serve indovinare la password di tutti — ne basta una.

È esattamente il tipo di debolezza che emerge durante un test condotto dal punto di vista di un attaccante reale: non una vulnerabilità software, ma una credenziale prevedibile su un servizio raggiungibile da internet. Individuarla prima che lo faccia un criminale è tra gli obiettivi più concreti di un’analisi di sicurezza.

Le difese che funzionano davvero

La buona notizia è che l’attacco a dizionario è tra i più facili da neutralizzare, perché colpisce solo chi gli offre il bersaglio. La prima difesa è la natura della password: lunga e non derivata da parole prevedibili. Una passphrase di quattro parole casuali batte qualsiasi “parola+anno+simbolo”, perché non esiste dizionario che la contenga — le regole pratiche le abbiamo raccolte nelle 10 regole per costruire password forti. La seconda è l’unicità, che disinnesca il riuso su cui campa il credential stuffing: e poiché nessuno ricorda cinquanta password uniche, lo strumento è il password manager, che le genera e le custodisce.

La terza è l’autenticazione a più fattori: anche la password indovinata, da sola, non apre più nulla. Sul fronte dei sistemi, contano i blocchi sui tentativi ripetuti, il monitoraggio dei login anomali e — per chi gestisce servizi — l’hashing robusto con salt, che rende gli attacchi offline economicamente insostenibili. Insieme, queste misure trasformano l’attacco a dizionario da minaccia concreta a rumore di fondo.