16 miliardi di password rubate: come difendersi oggi

16 miliardi di password rubate: come difendersi oggi

Indice

• L’indagine Cybernews: quadro della più grande fuga di dati del 2025
• Come sono stati raccolti e pubblicati i dati: cosa dice l’inchiesta
• Quali dati sono finiti nelle mani dei malintenzionati e chi rischia di più
• Le strategie dei cybercriminali oggi: attacchi globali su vasta scala
• Come sapere se le tue password sono a rischio
• Proteggere i propri account: le migliori pratiche di sicurezza 2025
• Focus su social network, account aziendali e portali governativi
• Il ruolo delle aziende e dei governi nella difesa dei cittadini digitali
• Cosa fare in caso di account compromesso: guida pratica
• Sintesi e raccomandazioni finali

---

L’indagine Cybernews: quadro della più grande fuga di dati del 2025

Nel giugno 2025 il mondo digitale è stato sconvolto da una notizia senza precedenti: la pubblicazione online di 16 miliardi di credenziali rubate. L’inchiesta condotta dal team di Cybernews, testata internazionale specializzata in cybersecurity, ha rivelato una delle più imponenti fughe di dati mai registrate. I numeri impressionano e danno misura della portata globale dell’emergenza: piattaforme social, servizi aziendali, portali della pubblica amministrazione e applicazioni personali sono stati coinvolti. I rischi e le implicazioni, per gli utenti comuni come per istituzioni e aziende, sono enormi.

Le cifre rendono questa esposizione una delle principali notizie a tema cybersecurity del 2025 e posizionano il tema delle password rubate al centro del dibattito mondiale sulla sicurezza informatica.

Come sono stati raccolti e pubblicati i dati: cosa dice l’inchiesta

L’indagine di Cybernews svela che i dati sono stati ottenuti principalmente tramite infostealer, una delle tipologie di malware più diffuse e insidiose degli ultimi anni. Gli infostealer vengono veicolati tramite siti compromessi, phishing, allegati malevoli o download non verificati; una volta attivati sui dispositivi delle vittime, sono in grado di sottrarre ogni genere di informazione sensibile.

La raccolta delle credenziali sottratte – utenti, email, password, URL di riferimento, e in molti casi anche token di sessione e cookie di autenticazione – è avvenuta nel corso degli ultimi due anni. Tutte queste informazioni sono state archiviate in 30 mega-dataset, abbandonati su server non protetti, in modo tale da essere facilmente accessibili a chiunque fosse in grado di individuarli. Questa mancanza di protezione ha amplificato a dismisura il rischio, trasformando una raccolta illecita iniziale in una vera minaccia globale.

Quali dati sono finiti nelle mani dei malintenzionati e chi rischia di più

Secondo il rapporto Cybernews, tra le informazioni sottratte figurano:

• Nome utente (username) o indirizzo email
• Password (in chiaro o cifrate ma aggirabili)
• URL di login di riferimento
• Token di autenticazione e cookie di sessione (utili a bypassare password e fattori di sicurezza)

Questi dati includono accessi a social network come Facebook, Instagram, X (ex Twitter), LinkedIn, TikTok, ma anche a servizi bancari, CRM aziendali, account di posta, servizi cloud e portali governativi. In pratica, nessuna categoria di utente può considerarsi al sicuro, nemmeno chi utilizza solo servizi reputati "sicuri" o chi si affida a provider di grandi dimensioni.

Gli utenti più a rischio sono quelli che:

• Utilizzano le stesse password su più servizi
• Hanno password deboli o facilmente intuibili
• Non impiegano strumenti di autenticazione aggiuntiva (come OTP o autenticazione a due fattori)
• Non aggiornano regolarmente le proprie credenziali
• Non sono attenti agli avvisi di sicurezza provenienti dai servizio

Le strategie dei cybercriminali oggi: attacchi globali su vasta scala

Un aspetto inquietante sottolineato nell’indagine riguarda l’automazione degli attacchi informatici. I criminali, con 16 miliardi di credenziali a disposizione, possono tentare accessi su milioni di piattaforme in tutto il mondo usando software specializzati (credential stuffing). Si tratta di un meccanismo automatizzato che prova ad abbinare ogni combinazione di username e password su diversi portali, finché non trova quelle funzionanti.

Sebbene il tasso di successo dei singoli attacchi sia relativamente basso (meno dell’1%, secondo Cybernews), il numero abnorme di credenziali comporta comunque centinaia di milioni di possibili violazioni.

Tra le tipologie di attacco più diffuse troviamo:

• Credential stuffing
• Account takeover (preso possesso illegittimamente dell’account)
• Phishing mirato sfruttando fondi originati dai dati rubati
• Diffusione malware tramite accessi compromessi

Come sapere se le tue password sono a rischio

La domanda principale che ognuno dovrebbe porsi diventa: sono tra le vittime della fuga di dati?

Per scoprirlo, si possono adottare alcune strategie:

• Utilizzare servizi di verifica come Have I Been Pwned o lo stesso Cybernews Leak Checker, inserendo il proprio indirizzo email per verificare eventuali compromissioni
• Ricevere alert da provider ufficiali (es. Google, Microsoft, Apple) in caso di sospette attività sospette sugli account
• Prestare attenzione a email, SMS o notifiche di "reset password" non richiesti

Risulta fondamentale agire rapidamente se si riceve un avviso di compromissione o se uno dei propri account risulta incluso nei dataset violati.

Proteggere i propri account: le migliori pratiche di sicurezza 2025

La protezione delle password non è mai stata così centrale come oggi. Ecco alcune best practice consigliate dagli esperti di cybersecurity per difendersi efficacemente:

1. Utilizzare manager delle password: strumenti dedicati per la generazione, conservazione e inserimento sicuro delle chiavi di accesso
2. Evitare il riutilizzo delle password: ogni account deve avere una password unica, soprattutto per servizi sensibili (mail principale, home banking, lavoro)
3. Impostare password lunghe e complesse: almeno 12 caratteri, combinando maiuscole, minuscole, numeri e simboli
4. Abilitare l’autenticazione a due fattori (2FA): aggiunge uno strato di sicurezza essenziale
5. Effettuare il cambio password periodicamente
6. Non condividere mai password tramite messaggistica o email
7. Aggiornare regolarmente sistemi operativi e software: le vulnerabilità possono essere una porta d’ingresso

In particolare, le aziende dovrebbero prevedere policy di sicurezza obbligatorie e sessioni formative periodiche per dipendenti e collaboratori.

Focus su social network, account aziendali e portali governativi

L’analisi dei dataset rivela come non solo i grandi siti social ma anche gli account aziendali e, soprattutto, i portali governativi siano stati coinvolti nella fuga di dati 2025. Questo significa che non solo la vita privata ma anche quella lavorativa e l’accesso a servizi fondamentali per la società sono potenzialmente sotto minaccia.

Per i social network, il furto di password espone a furti identità, truffe agli amici (social engineering), campagne di disinformazione e danni reputazionali. Negli account aziendali, la perdita di credenziali può condurre a sottrazione di dati sensibili, interruzione dei servizi o ransomware. Nei portali governativi, rischiano informazioni fiscali, sanitarie e amministrative, con conseguenze anche legali.

Le principali raccomandazioni per questi ambiti sono:

• Attivare notifiche immediate per ogni accesso sospetto
• Ricorrere ove possibile alle chiavi di sicurezza fisiche (FIDO, Yubikey)
• Seguire sempre le linee guida di aggiornamento delle password
• In ambito lavorativo, avvalersi di VPN e non condividere mai le proprie credenziali via email

Il ruolo delle aziende e dei governi nella difesa dei cittadini digitali

La responsabilità della sicurezza non ricade solo sul singolo. Aziende e governi sono chiamati a rafforzare le proprie strategie di cybersecurity e a garantire la tutela dei dati che i cittadini affidano loro. Questo comporta:

• Adeguare i server con soluzioni di crittografia avanzata
• Monitorare costantemente i tentativi di accesso sospetti (SOC, Security Operation Center)
• Informare gli utenti tempestivamente in caso di possibili violazioni
• Fornire canali rapidi per la richiesta supporto e gestione incidenti
• Collaborare con enti di controllo e con le forze dell’ordine internazionali per individuare responsabili e minacce

A livello legislativo, la fuga di 16 miliardi di password evidenzia la necessità di normative ancora più stringenti su raccolta, conservazione e trattamento dei dati.

Cosa fare in caso di account compromesso: guida pratica

Se si ha la certezza (o un fondato sospetto) che il proprio account sia stato compromesso a causa di questa fuga di dati, è fondamentale seguire subito questi passaggi:

1. Cambiare immediatamente la password dell’account coinvolto e, se era la stessa usata altrove, modificarla anche per tutti gli altri servizi
2. Abilitare l’autenticazione a due fattori se non già attiva
3. Controllare le impostazioni di sicurezza del proprio account, eventuali accessi recenti e dispositivi collegati
4. Segnalare la violazione al servizio: molti provider dispongono di un centro assistenza per gli account compromessi
5. Indagare possibili attività sospette (transazioni non autorizzate, tentativi di cambio email o numero di telefono)
6. Aggiornare strumenti antivirus e antimalware
7. Valutare la possibilità di una denuncia, almeno per ricostruire la catena degli eventi e ridurre i danni

Sintesi e raccomandazioni finali

L’indagine Cybernews sulla fuga di 16 miliardi di credenziali nel 2025 rappresenta un campanello d’allarme per tutti: utenti privati, professionisti, aziende e istituzioni pubbliche. La portata dell’attacco è tale da rendere quanto mai urgente adottare comportamenti prudenti e strategie di difesa efficaci.

Le parole chiave rimangono prevenzione e consapevolezza. Le tecniche di attacco evolvono rapidamente, ma anche gli strumenti per proteggersi oggi sono molto più accessibili rispetto al passato. Investire tempo nella cura della sicurezza digitale – attraverso buone abitudini, l’uso di strumenti adeguati e l’aggiornamento continuo – è oggi una necessità imprescindibile.

Se non lo si è già fatto, è fondamentale verificare la propria esposizione tramite strumenti online di leak checker, aggiornare subito tutte le password più sensibili e diffondere queste informazioni tra amici, familiari e colleghi, per ridurre la superficie di attacco dei cybercriminali.

Il 2025 rimarrà nella storia come l’anno della “grande fuga di password”. Ma può anche segnare una svolta verso una cultura della cybersecurity finalmente condivisa e diffusa a ogni livello della società.