World Password Day 2026: Kaspersky rivela i nuovi punti deboli delle nostre credenziali

In occasione del World Password Day 2026, gli esperti di Kaspersky hanno pubblicato un'analisi condotta su 231 milioni di password uniche compromesse negli ultimi tre anni, portando alla luce tendenze allarmanti sulla vulnerabilità dei nostri account. Nonostante la diffusione di regole più rigide, il 68% delle password moderne può essere violato entro 24 ore. Il dato più significativo riguarda la prevedibilità: oltre la metà delle credenziali analizzate termina con una cifra e il 10% utilizza il simbolo "@" come unico carattere speciale, offrendo agli hacker schemi ricorrenti che facilitano enormemente gli attacchi di tipo brute force.

L'intelligenza artificiale ha cambiato radicalmente le regole del gioco, rendendo la sola lunghezza della password un parametro insufficiente. Sebbene le combinazioni inferiori agli otto caratteri vengano ormai decifrate quasi istantaneamente, i nuovi algoritmi intelligenti sono in grado di violare il 20% delle password da 15 caratteri in meno di un minuto, specialmente se queste seguono logiche comuni. L'analisi mostra che gli utenti tendono a scegliere parole legate a trend del momento o termini emotivi positivi come "amore", "squadra" o "stella". Un esempio emblematico è l'uso della parola "Skibidi", aumentato di 36 volte tra il 2023 e il 2026 seguendo la sua popolarità sul web, dimostrando quanto le nostre scelte siano influenzate dai fenomeni virali.

Per contrastare queste minacce, Alexey Antonov di Kaspersky suggerisce di abbandonare le singole parole in favore di passphrase composte da termini non correlati, arricchite da errori ortografici intenzionali e simboli distribuiti in posizioni non prevedibili. È fondamentale evitare sequenze numeriche semplici come "1234" o date di nascita, che rappresentano ancora il 12% delle password trapelate. La raccomandazione definitiva per una protezione reale nel 2026 include l'utilizzo di generatori di password casuali per creare stringhe di almeno 16 caratteri uniche per ogni servizio, supportate sempre dall'attivazione dell'autenticazione a due fattori (2FA) ove disponibile.