1. Perché le credenziali sono diventate il bersaglio numero uno
Il nome utente e la password con cui ogni mattina apriamo il gestionale, la webmail, il portale NoiPA o la piattaforma degli acquisti sono, nell’economia criminale contemporanea, la merce più ricercata. La ragione è semplice: forzare dall’esterno un sistema ben configurato è difficile e rumoroso; entrare con le chiavi giuste è silenzioso e a buon mercato. Chi dispone di credenziali valide non deve “bucare” nulla: accede come il legittimo titolare, senza far scattare allarmi. Le analisi internazionali indicano da anni le credenziali rubate come la principale via d’ingresso nelle violazioni di dati, e il CERT-AgID censisce ogni anno centinaia di campagne rivolte alla PA che puntano proprio a questo, comprese quelle a tema SPID. Una persona che lavora in amministrazione gestisce facilmente dalle trenta alle cinquanta utenze: nessuna memoria può custodirle tutte. La sicurezza non si costruisce con sforzi di memoria impossibili, ma con metodi che rendono la robustezza sostenibile.
2. La password robusta: la lunghezza batte la complessità
Le password non vengono “indovinate” da geni del computer: vengono rubate con il phishing o provate a miliardi da programmi automatici, che partono dalle strutture più comuni — nome, anno, punto esclamativo. “Giulia2024!” cade in pochi secondi; una sequenza di quattro parole casuali come “Tram-Basilico7Nuvola-Rubinetto” resiste per scale di secoli. Le indicazioni di Garante privacy, ACN e linee guida internazionali convergono: contano la lunghezza — almeno dodici caratteri, meglio quindici — e l’imprevedibilità, non i simboli imposti per regolamento; nessun legame con nomi, date e vita personale; e una password diversa per ogni servizio. Anche il cambio forzato ogni tre mesi è un mito superato: produce varianti prevedibili (“Estate2025” che diventa “Autunno2025”); la password si cambia quando c’è un motivo, e in quel caso si cambia davvero, non si ritocca.
3. Riutilizzo e account condivisi: le due scorciatoie che costano care
Usare la stessa password su più servizi è l’errore che moltiplica il danno. Quando un sito viene violato, le coppie “email + password” finiscono in enormi elenchi che i criminali provano automaticamente su centinaia di altri servizi (il credential stuffing): la sicurezza di una password riutilizzata è pari a quella del peggiore dei siti su cui la usiamo. Per lo stesso motivo l’indirizzo email istituzionale non va mai usato per registrarsi a servizi privati. Quanto agli account condivisi — la casella a cui accedono in cinque, l’utenza del collega in pensione che tutti usano — i problemi sono tre: impediscono di ricostruire chi ha fatto che cosa (e questo danneggia prima di tutto gli onesti), moltiplicano le occasioni di fuga della password, violano le regole su utenze nominative e protezione dei dati. Le alternative corrette esistono sempre: caselle funzionali con accessi personali, deleghe applicative per le sostituzioni, strumenti di gestione controllata per le utenze imposte dai portali esterni.
4. L’autenticazione multifattore: la cintura di sicurezza
Dobbiamo dare per possibile che una password, prima o poi, venga compromessa. L’autenticazione multifattore rende quella compromissione non decisiva: oltre a qualcosa che si sa (la password) serve qualcosa che si ha (un’app, un telefono, una chiavetta di sicurezza). Va attivata ovunque sia disponibile, a partire dalla posta elettronica, dai pagamenti e dall’identità digitale. Attenzione però ai suoi aggiramenti, che passano tutti dalla collaborazione della vittima: mai approvare una notifica di accesso che non abbiamo appena originato noi — se arriva da sola, qualcuno ha già la password — e mai comunicare un codice OTP a nessuno, per nessun motivo: né la banca, né il gestore SPID, né l’ufficio informatico lo chiederanno mai per telefono.
5. SPID, CIE e CNS: l’identità digitale non si presta
Chi ruba uno SPID non ruba l’accesso a un sito: ruba una persona intera davanti alla Pubblica Amministrazione. Per questo SPID, CIE e CNS vanno trattati per ciò che sono — la nostra persona in forma digitale. Nessun gestore chiede mai via email o SMS di “riattivare” o “confermare” l’identità cliccando un link: le operazioni si fanno solo dal sito o dall’app ufficiale. I PIN e i PUK della CIE vanno conservati separatamente dalla carta, mai fotografati insieme ad essa. E soprattutto l’identità digitale non si cede a nessuno, nemmeno a colleghi o familiari in buona fede: tutto ciò che viene fatto con il nostro SPID risulta fatto da noi, e l’uso dell’identità altrui può configurare reati. Per le pratiche di familiari esistono le deleghe ufficiali di INPS e Agenzia delle Entrate; per il lavoro esistono lo SPID a uso professionale e le utenze di servizio.
6. Conservare le credenziali e riconoscere le false pagine di login
Il post-it sul monitor, il file “password.xlsx” sul desktop, l’email a sé stessi: tutti conservano le password in chiaro e in luoghi prevedibili. Lo strumento corretto è il password manager: una cassaforte cifrata protetta da un’unica passphrase robusta — l’unica da ricordare davvero — che genera e custodisce password lunghe, casuali e diverse per ogni servizio. E offre un allarme antifrode integrato: compila le credenziali solo sul sito giusto; se davanti a una pagina tace, è la pagina a essere sbagliata. Davanti a ogni schermata di accesso valgono pochi controlli: come ci sono arrivato (mai da un link ricevuto o da un annuncio sponsorizzato), qual è l’indirizzo esatto nella barra — e il lucchetto non è una garanzia di autenticità.
7. Se è già successo: la velocità ripara quasi tutto
Se ci si accorge di aver inserito le credenziali in una pagina sospetta, o arrivano segnali anomali — accessi sconosciuti, richieste MFA non nostre — la variabile decisiva è la velocità: cambiare subito la password (e ovunque fosse riutilizzata, partendo dalla posta), avvisare immediatamente il servizio informatico, attivare per l’identità digitale i canali del gestore. La vergogna è la migliore alleata dell’attaccante: chi segnala subito trasforma un incidente grave in un evento gestito. In un’amministrazione in cui le chiavi digitali aprono stipendi, dati e pagamenti, ogni persona che custodisce bene le proprie credenziali custodisce, insieme, un pezzo della fiducia dei cittadini.
