Marcello LegaDa anni il crimine informatico è diventato un’attività professionale, organizzata e complessa, ma il punto debole per eccellenza è sempre lo stesso: le password.
Oggi, sul dark web, si è creata una vera e propria filiera delle credenziali rubate, che coinvolge malware, attacchi, data breach, spyware, forum illegali e cybercriminali.
Tutto gira intorno alle famose combolist: ne hai mai sentito parlare? Questi lunghi elenchi di nomi utenti e password compromesse vengono usati per violare gli account con attacchi di credential stuffing, e ci sono buone probabilità che il tuo nome o la tua email sia su una di queste liste.
Il grande problema è che molte persone riutilizzano le stesse password, perciò se subiscono un data breach il numero di account a rischio cresce moltissimo.
In questo articolo parliamo di:
- Password rubate online: come vengono usate nel 2026
- Cosa sono le combolist
- Cos’è il credential stuffing
- Come scoprire se le tue password sono esposte
- Come proteggere gli account online
- Alternative per non riutilizzare le password
Buona lettura!
Password rubate online: come vengono usate nel 2026
I criminali informatici continuano a sfruttare le debolezze umane. Molti di noi riutilizzano la stessa password per vari servizi online, per cui basta che rimanga esposta una volta per compromettere più account.
Vediamo il percorso delle password rubate online nel 2026:
- La tua password viene rubata tramite phishing, infostealer o un’estensione malevola del browser.
- La password viene associata al tuo indirizzo email o nome utente e aggiunta a una combolist, cioè un enorme database di credenziali rubate.
- La combolist viene messa in vendita sul dark web, su canali Telegram o altre piattaforme online.
- Un cybercriminale l’acquista e prova a inserire tutte le credenziali su vari siti, finché non accede a un account. Per farlo, usa programmi che aggirano i controlli di sicurezza (come la rotazione dell’IP e i server proxy) e strumenti di automazione che provano migliaia di password al minuto (il cosiddetto credential stuffing).
- Se riesce ad accedere all’account, ruba i dati che trova, lo usa per fare acquisti non autorizzati oppure per soppiantare l’identità della vittima e sfruttarla durante altri attacchi.
Combolist e credential stuffing: come e perché funzionano
Questo ecosistema criminale si è creato intorno alle password rubate per un semplice motivo: moltissime persone riutilizzano le password, quindi una password rubata può dare accesso a molti account.
Questo rende gli attacchi efficienti e redditizi, perché tra tanti account vulnerabili è probabile che ce ne siano alcuni contenenti dati sensibili o informazioni finanziarie, come i dati della carta di credito.
I nomi utenti e le password vengono rubati inizialmente con vari metodi: virus, spyware, siti di phishing e così via. Molti di questi strumenti sono automatizzati e inviano le credenziali rubate a un server che le ripulisce e le aggiunge a un database.
Questo database, composto da coppie di nome utente e password, prende il nome di combolist. Che significa letteralmente elenco di combinazioni. Le combolist vengono messe in vendita sul dark web o scambiate tra gruppi di cybercriminali, per massimizzare ulteriormente l’efficienza delle proprie operazioni.
Quando l’attaccante finale acquisisce una combolist, la carica in un altro programma e la usa per inviare migliaia di richieste di accesso a determinati siti. Questa tecnica prende il nome di credential stuffing e, anche se può sembrare rudimentale, è piuttosto efficace perché, come abbiamo detto, molte persone riutilizzano le password per più account.
Quindi, per fare un esempio, uno spyware potrebbe aver rubato la password che usi per un sito di notizie e averla associata al tuo indirizzo email personale o aziendale. Un giorno, questi dati potrebbero essere usati per accedere ad altri tuoi account su cui usi la stessa password e che sono potenzialmente a rischio.
Cosa possono fare i criminali con le tue password
Una volta rubate le password e acquistate le combolist, i cybercriminali possono usarle per accedere a vari servizi online:
- Casella di posta elettronica, contenente tutti i tuoi messaggi e dati personali.
- Account social.
- Identità digitale.
- Siti di online banking o piattaforme di pagamento.
- Siti di investimenti online.
- Wallet di criptovalute.
- Servizi cloud.
- Reti aziendali.
- Account di e-commerce.
Si crea quindi un effetto domino: la maggior parte delle persone non sa quanti account online ha e su quali di essi utilizza le stesse password. Di fatto, l’unico modo efficace per proteggersi dal credential stuffing e dalle combolist è non riutilizzare MAI le password.
Come capire se sei a rischio
La buona notizia è che ci sono molte cose che puoi fare per proteggerti e anche per capire se sei in pericolo. Ecco i nostri consigli:
- Innanzitutto, usa uno strumento di monitoraggio del dark web, come Have I Been Pwned?, che ti dice se la tua email è rimasta esposta a causa di una fuga di dati o una violazione di un sito.
- Fai attenzione a sintomi strani, come password che smettono di funzionare, avvisi di accesso da posizioni o dispositivi sconosciuti, messaggi di ripristino delle password che non hai richiesto e così via.
- Se scopri che una password è compromessa, cerca di ricordare gli altri account in cui la usi e cambiala subito. Se il tuo indirizzo email è incluso in una violazione dei dati, controlla gli account per cui lo utilizzi come nome utente.
- Controlla gli account più importanti: banca, email, social, cloud. Per sicurezza aggiorna le password critiche di questi account.
Come proteggersi ed evitare nuovi furti e compromissioni
Come sempre, prevenire è meglio che curare, per cui ti consigliamo di cambiare alcune abitudini cruciali per proteggere al meglio i tuoi dati di accesso e i tuoi account online. Sono solo 3 consigli, ma sono potentissimi:
- Usa una password diversa per ogni sito o account.
- Usa un password manager, che ti aiuterà a creare password robuste e difficili da indovinare, ma soprattutto le memorizzerà al posto tuo.
- Attiva l’autenticazione a due fattori e le passkey, se disponibili.
Questo elenco di consigli è volutamente breve perché sappiamo quanto sia stancante dover gestire la sicurezza della propria presenza digitale. Per questo, il primo passo è concentrarsi sulle cose davvero importanti e adottare una strategia semplice ma sostenibile nel tempo.
LEGGI ANCHE: Stress da sicurezza informatica: anche tu ne soffri senza saperlo?
Domande frequenti sulle password rubate online
Cos’è il credential stuffing?
È un attacco in cui i criminali usano nome utente e password rubate per provare a entrare automaticamente in migliaia di altri account. Funziona perché molte persone usano la stessa password per molti account diversi.
Una password complessa è sufficiente?
No, perché anche una password forte può essere rubata durante una violazione di dati e finire nelle mani degli hacker. Nel 2026, è imprescindibile usare password forti e uniche e abbinarle all’autenticazione a due fattori.
Cos’è un password manager e come si usa?
È un’app che genera e memorizza password uniche e complesse per ogni sito al posto tuo. Ti basta ricordare una sola password principale, e lui fa tutto il resto. Se vuoi, puoi provare il nostro Panda Dome Passwords, disponibile da solo o nei pacchetti di sicurezza della gamma Panda Dome.
Cosa sono le combolist?
Sono elenchi di milioni di indirizzi email e password rubati, venduti sul dark web e usati dagli hacker per attaccare gli account in modo automatico. Se riusi le password, probabilmente sei già in qualcuna di queste liste.
Come faccio a capire se mi hanno rubato la password?
Puoi controllare su siti come HaveIBeenPwned.com inserendo il tuo indirizzo email: ti dice subito se è stato coinvolto in una violazione di dati. Molti antivirus e browser moderni offrono anche un monitoraggio automatico in tempo reale.
Le passkey sono più sicure?
Sì, perché sostituiscono la password con un sistema crittografico legato al tuo dispositivo, impossibile da rubare tramite combolist o phishing. Sono il futuro dell’autenticazione online e le piattaforme online più grandi le stanno già adottando.
CONTINUA A LEGGERE: 5 applicazioni dell’IA nella sicurezza informatica
Buona navigazione e buona protezione delle password!
