«Admin», «cambiami» e «juventus»: le password degli italiani restano il punto debole, e i dati dell’ACN lo confermano

Tra le password più utilizzate in Italia nel 2025 c’è anche «juventus», al diciassettesimo posto. Da queste parti la notizia strappa un sorriso. Il problema è che, letta accanto ai numeri diffusi dall’Agenzia per la cybersicurezza nazionale, smette abbastanza in fretta di essere divertente.

La classifica 2025: vince «admin»

La classifica annuale delle password più comuni, pubblicata a novembre e costruita analizzando milioni di credenziali finite in data breach e in repository del dark web tra settembre 2024 e settembre 2025, fotografa un Paese che non cambia abitudini. In testa c’è «admin», comparsa oltre 340 mila volte: è la parola d’accesso preimpostata di router, telecamere connesse e pannelli di gestione, e il fatto che sia al primo posto racconta soprattutto quante persone non l’hanno mai modificata.

Dietro si trovano «password», «123456», «cambiami» e «123456789». Poi arrivano i tratti più riconoscibili: il calcio, con «Napoli1926» all’ottavo posto e «juventus» al diciassettesimo; i nomi propri, da Veronica a Maria fino a Rodolfo; e, per la prima volta segnalata dai ricercatori, una presenza massiccia di bestemmie. A livello globale, per il sesto anno consecutivo, resiste «123456».

Il dettaglio più istruttivo, però, è un altro: l’indagine non rileva differenze significative tra generazioni. Dai baby boomer alla Gen Z, le scelte sono praticamente le stesse. Non è una questione di età né di dimestichezza con la tecnologia.

Cosa dicono i numeri dell’ACN

Qui la faccenda si fa seria. Secondo la Relazione annuale al Parlamento dell’Agenzia per la cybersicurezza nazionale, nel 2025 gli eventi cyber in Italia sono cresciuti del 38%: il CSIRT Italia ne ha trattati 2.729, con una media di 227 al mese contro i 165 dell’anno precedente. Gli incidenti con impatto confermato sono stati 615.

È l’analisi dei vettori a chiamare in causa direttamente le nostre abitudini. Il 40% dei principali vettori rilevati riguarda l’email, l’11% lo sfruttamento di vulnerabilità tecniche e il 24% l’uso di account validi. Tradotto: in quasi un caso su quattro non c’è nessuna falla da bucare, nessun codice sofisticato. C’è semplicemente qualcuno che entra con credenziali funzionanti, come farebbe il legittimo proprietario.

Non a caso l’Agenzia colloca l’esposizione di dati tra le minacce principali, osservando che credenziali e informazioni compromesse rappresentano di frequente il primo passo verso intrusioni, esfiltrazioni e ransomware. E segnala un aggravante recente: l’intelligenza artificiale permette oggi di confezionare messaggi di phishing molto più credibili, aumentando le probabilità che qualcuno consegni le proprie credenziali senza accorgersene. Il tema torna spesso anche nelle nostre pagine di scienza e tecnologia.

Il vero problema non è «juventus». È il riutilizzo

Una password debole, presa da sola, espone un singolo account. Il danno diventa sistemico quando la stessa combinazione viene riusata ovunque: basta che uno dei servizi subisca una violazione perché quella chiave venga provata, in automatico, su posta elettronica, social, e-commerce e home banking. È esattamente il meccanismo che trasforma un data breach altrui in un problema personale.

E qui sta il punto che raramente viene detto: non è un difetto di volontà. Nessuno ricorda cinquanta stringhe casuali diverse. Chiedere alle persone di farlo, e poi rimproverarle quando non ci riescono, non ha mai funzionato — la classifica delle password lo dimostra da anni.

Cosa fare, concretamente

• Cambiate le credenziali predefinite. Se il router o la telecamera di casa hanno ancora «admin», iniziate da lì: è la prima cosa che prova un programma automatico che scandaglia la rete.
• Smettete di inventarle. Una password creata da noi tende a somigliare a noi, e quindi a essere prevedibile.
• Attivate l’autenticazione a due fattori. Così una credenziale rubata, da sola, non basta a entrare.

Sul secondo punto la soluzione più semplice è anche la più vecchia: delegare. Un generatore password produce combinazioni lunghe e casuali in un istante, senza riferimenti al nostro paese, ai nostri figli o alla nostra squadra. Non dovendo ricordarle, non c’è nemmeno la tentazione di riusarle: se ne genera una diversa per ogni servizio e si conserva l’unica cosa che vale la pena memorizzare, ovvero una passphrase robusta per accedere a tutto il resto.

La classifica 2025 verrà rifatta l’anno prossimo, e con ogni probabilità somiglierà molto a questa. «Admin» sarà ancora lì, insieme a qualche squadra di calcio e a qualche nome proprio. La differenza la fa il fatto che, nel frattempo, i numeri dell’ACN continuano a salire: e in un quarto dei casi la porta non viene forzata. Viene semplicemente aperta.

Rimani aggiornato seguendoci su Google News!

SEGUICI

Iscriviti al canale WhatsApp, segui la nostra pagina Facebook e continua a leggere Quotidiano Piemontese