Immagina di chiudere il laptop dopo una giornata di lavoro, convinto che la tua casella email sia al sicuro. Mentre dormi, però, la tua password sta già viaggiando: da un server in Russia a un forum in lingua russa, poi dritta in un database di credenziali in vendita a pochi dollari. Suona come un film distopico, ma è esattamente quello che è successo a milioni di italiani nel 2026.
L’Osservatorio Cyber di CRIF ha registrato oltre 2,2 milioni di alert per dati esposti sul dark web, in crescita del 5,8% rispetto all’anno prima. Eppure, la maggior parte di noi lo scopre solo quando è troppo tardi.
Quello che stiamo vivendo è un furto silenzioso, una catena di montaggio industriale che trasforma le nostre credenziali in merce da rivendere a pezzi. Il dato più sconfortante? Più della metà degli utenti monitorati (51,8%) ha ricevuto almeno un alert, e nell’85,6% dei casi si trattava di dati finiti sul dark web.
In questo articolo seguiremo una password italiana qualunque nel suo viaggio dallo schermo di casa fino ai mercati clandestini, per capire come difenderci. L’unica arma reale è semplice, ma va usata bene: password uniche e casuali.
La geografia del furto: l’Italia nel mirino globale
Non siamo un paese di passaggio. Nel 2025 l’Italia si è piazzata al sesto posto nella classifica mondiale per email compromesse e al ventitreesimo per dati di carte di credito, sempre secondo i dati CRIF.
E non si tratta solo di più furti: la gravità media degli alert è salita del 22%, segno che gli attacchi diventano sempre più pericolosi.
A rendere il quadro ancora più amaro è lo spionaggio sulle istituzioni. Una ricerca di NordPass/NordStellar, ripresa dal Corriere Nazionale, ha svelato che tra 2024 e 2025 sono state divulgate quasi 14mila credenziali di funzionari pubblici italiani.
Il Ministero dell’Istruzione è il più colpito con 7.033 password, seguito da Giustizia (1.379) e Infrastrutture (1.020). Come se non bastasse, un’analisi di ACN documenta 2.171 eventi cyber nel primo semestre 2026, in crescita del 47% sull’anno precedente, con ben 1.072 incidenti dall’impatto concreto.
Anatomia di una password rubata: il ciclo di vita nascosto
L’infezione silenziosa: come gli infostealer entrano nei nostri dispositivi
Tutto comincia con un malware progettato per un unico scopo: rubare ogni singola credenziale salvata. Si chiama infostealer e, come spiega Gyala, si diffonde attraverso tre canali ben precisi: phishing, software craccato o pirata, e siti web compromessi (drive-by compromise). Nel 2023, su scala globale, erano già 500 milioni i dispositivi infetti, con oltre 2 miliardi di log rubati e distribuiti.
La scena è più banale di quanto si pensi. Un dipendente in smart working scarica un programmino “gratis” sul laptop personale. Il malware resta dormiente per ore o giorni, aspira password del browser, cookie, cronologia, token di autenticazione, e poi sparisce. Il lavoro è fatto.
Per creare credenziali robuste fin dal primo momento, puoi usare un genera password che produce sequenze casuali e irripetibili in un clic, rendendo inutile qualsiasi tentativo di indovinare la tua chiave d’accesso.
Secondo il primo report dedicato di ACN, le famiglie più attive contro soggetti italiani nel 2026 sono state LummaC2, RedLine Stealer e DcRat.
E c’è un dettaglio tecnico che fa la differenza: i cookie di sessione possono aggirare l’autenticazione a due fattori, perché non tutte le piattaforme li invalidano dopo un cambio password, come ricorda Geopop. In pratica, anche con la 2FA attiva, il ladro ha già le chiavi.
Lo “stealer log”: la merce viene confezionata
Quello che esce dal dispositivo infetto è un “stealer log”: un pacchetto già pronto per la vendita che contiene email, password, username, URL di accesso, cookie, dati di autocompletamento e perfino wallet crypto.
Nel 91,5% degli alert analizzati da CRIF, la combinazione email+password era l’informazione più frequente, seguita nell’85,2% dei casi da password+username. Le tipologie di dati più esposti sono, in ordine: password, email, nomi utente, indirizzi e nomi/cognomi.
A giugno 2025, i ricercatori di Cybernews hanno scovato 30 archivi distinti contenenti circa 16 miliardi di credenziali, una delle più grandi aggregazioni mai documentate, frutto soprattutto di infostealer, come riporta Geopop. Un numero che dà le vertigini e che rende l’idea di quanto sia esteso questo mercato sommerso.
Il marketplace: il listino prezzi delle nostre identità digitali
Dai dump all’ingrosso agli accessi premium, il dark web è un supermercato ben organizzato. Secondo Kaspersky Digital Footprint Intelligence, citata da TechFromTheNet, i grandi lotti di credenziali verificati si vendono a 50 dollari o meno.
Ma se l’accesso è a un conto bancario, il prezzo sale a 350 dollari; portali e-government vengono scambiati a 82,50 dollari; un account crypto, 105 dollari.
La vera chicca sono gli accessi aziendali. Un tunnel VPN o un desktop remoto (RDP) funzionante può valere migliaia di euro, perché da lì parte quasi sempre un attacco ransomware che può bloccare l’intera infrastruttura, come sottolinea Cyberment.
E gli account business, nel 2026, rappresentano ormai una parte significativa del totale esposto. Non è più solo un problema da consumatori distratti.
La seconda vita delle credenziali: dal furto al disastro
Dietro le quinte c’è un modello di business che si è industrializzato: gli sviluppatori offrono infostealer in abbonamento a 50-250 dollari al mese (Malware-as-a-Service, MaaS), come spiega ancora Gyala. Gli Initial Access Broker comprano i log, estraggono gli accessi aziendali più pregiati e li rivendono a operatori ransomware a prezzi ben più alti.
Secondo Europol, come ripreso da Zerberos, le credenziali vengono monetizzate entro ore o pochi giorni dalla violazione: la velocità è tutto.
Un caso vero documentato dal CSIRT Italia nel report ACN, e ripreso sempre da Gyala, mostra la catena in azione. Dipendente di un ente di ricerca, smart working, infostealer sul laptop personale → credenziali VPN rubate.
Mesi dopo, l’organizzazione subisce un attacco ransomware lanciato da un gruppo criminale diverso da quello che aveva diffuso il malware. I due attori si erano incontrati soltanto attraverso il valore di quei log.
Non è fantasia. Nel 2026, gli Uffizi colpiti da un attacco informatico hanno mostrato come un software non aggiornato per la gestione delle immagini abbia permesso agli hacker di rimanere nella rete per mesi prima di chiedere il riscatto.
L’anello debole: perché gli italiani (ancora) usano password fragili
I numeri sono impietosi. Nel 2025, la password più usata in Italia è stata “admin”, digitata oltre 340.000 volte, seguita da “password” e “123456”, tutte violabili in meno di un secondo.
Il paradosso è che quasi un incidente su tre nel 2024 è nato dal furto di credenziali, e in Italia l’abuso di account validi con password legittime è il metodo di attacco più comune, come evidenziato dal Rapporto Clusit e dall’IBM X-Force Threat Intelligence Index, citati da Economy Magazine.
E nonostante le linee guida di ACN e Garante Privacy del dicembre 2023 mettano in guardia su database non protetti e riutilizzo delle password, le abitudini cambiano piano.
A cosa servono queste password rubate? Soprattutto a sfondare porte già aperte: siti di intrattenimento (35,6%), social media (21,9%), e-commerce (21,2%) e forum/servizi a pagamento (18,8%), mentre i siti finanziari rappresentano solo l’1,3%. Il credential stuffing non va dove ci sono i caveau blindati: va dove trova la serratura standard per cui ha già la chiave.
Credential stuffing: la catena di montaggio del furto silenzioso
Il meccanismo è disarmante: la password rubata sul forum di cucina “ricetteveloci.it” prova ad aprire la casella email aziendale, perché il proprietario ha usato la stessa copia email+password ovunque. Come spiega Cyberment, il credential stuffing è un attacco automatizzato che sfrutta proprio il riutilizzo delle password.
E il phishing fa da apripista: Nel 2025, in Europa sono stati cliccati oltre 131 milioni di link malevoli, con l’88,5% degli attacchi mirato proprio alle credenziali, sempre secondo TechFromTheNet.
Mentre i numeri si accumulano — 507 attacchi gravi in Italia nel 2026 (+42%), 5.265 nel mondo (+49%) — l’utente medio continua a pensare “a me non succede”.
E invece il costo è già enorme. I dati più recenti (IBM, 2026) indicano che ci vogliono in media 194 giorni per identificare le violazioni che coinvolgono credenziali rubate e 292 giorni per contenere le violazioni che coinvolgono credenziali rubate (come indicato da SentinelOne nel 2025). Un tempo smisurato in cui i dati continuano a essere comprati e venduti.
La difesa a portata di mano: perché le password uniche sono l’unica risposta
La buona notizia è che il credential stuffing si può fermare con un gesto semplice: una password rubata = un solo servizio compromesso, non l’intera vita digitale. Come ricorda Cyberment, l’uso di password diverse per ogni account spezza la catena del riutilizzo.
E per generare credenziali lunghe, casuali e non riproducibili, i password manager sono uno strumento efficace: custodiscono tutto in un vault cifrato, senza che tu deba ricordare niente.
È un passaggio culturale: smettere di sforzarsi a inventare “password complesse che posso ricordare” e accettare che la password non la devo nemmeno conoscere. Certo, l’autenticazione a due fattori resta un tassello importante, ma va gestita con cura perché i cookie di sessione possono scavalcare anche quella.
E il 2025, con i suoi 2,2 milioni di alert, ha dimostrato che il problema persiste. Ma ogni password unica è una serratura che gli infostealer non possono scardinare a
