Hai presente quel pop-up che compare quasi ogni giorno? «Vuoi salvare la password?». Un clic, ed è fatta. La prossima volta che torni su quel sito, tutto si compila da solo. Comodo, no?
Peccato che quella comodità nasconda una trappola. E i numeri italiani fanno davvero riflettere: il 48% degli italiani salva le password esclusivamente nei browser — la percentuale più alta tra tutti i Paesi esaminati in un sondaggio condotto in 8 nazioni. Solo l’8% si affida a un gestore password dedicato, la percentuale più bassa in assoluto. (Gli italiani salvano le password nei browser e gli hacker lo sanno)
Siamo campioni mondiali di un’abitudine pericolosa. E gli hacker lo sanno benissimo.
Questo articolo vuole farti vedere cosa succede davvero dietro le quinte quando clicchi su “Salva password”, perché i keychain integrati non sono affatto una cassaforte, e come un password manager indipendente possa offrirti una protezione strutturalmente diversa — senza chiederti competenze tecniche avanzate.
Dentro il browser: perché non è una cassaforte
La falla architetturale: chiave sotto lo zerbino
Mettiamola così: immagina di avere una cassaforte blindata in salotto. Solida, rassicurante. Poi scopri che la chiave di emergenza è nascosta sotto lo zerbino, esattamente dove chiunque saprebbe cercare.
È più o meno quello che fanno Chrome, Edge e Firefox con le tue password.
Tutti questi browser archiviano le credenziali in un database SQLite chiamato “Login Data”, in una posizione prevedibile del file system. La chiave di decrittazione è conservata in una posizione accessibile — il che rende banale l’estrazione per qualsiasi malware riesca ad arrivare sul tuo dispositivo. (Kaspersky)
Non serve essere un genio dell’informatica per svuotare quel database. Basta un software malevolo con le istruzioni giuste — e di quei software, purtroppo, ce ne sono tantissimi.
Infostealer: il malware da 200 dollari
Parliamo di RedLine. RedLine è un infostealer, cioè un malware progettato per rubare informazioni. Lo trovi in vendita nei forum criminali a circa 200 dollari — meno di uno smartphone di fascia bassa.
Una volta installato, punta dritto al database “Login Data” dei browser più diffusi (Chrome, Edge, Opera) e preleva tutto: username, password, cookie di sessione, dati delle carte di credito, wallet di criptovalute.
La ciliegina sulla torta? In un caso documentato dagli analisti di AhnLab ASEC, RedLine era attivo su un PC con antivirus funzionante, ma quest’ultimo non è riuscito a rilevarlo.E se pensi che siano casi isolati, tieni conto di questo: nel 2024, 2,1 miliardi di credenziali sono state compromesse da infostealer — un aumento del 33% rispetto all’anno precedente — su un totale di 3,2 miliardi di credenziali rubate. (Forbes)
Il volume di credenziali rubate e messe in vendita nel dark web è cresciuto del 150% tra giugno 2022 e febbraio 2023. (Cerved)
Stiamo parlando di un’industria criminale in piena espansione. E gli infostealer sono il suo motore silenzioso.
I casi limite: Edge e le password in chiaro
E poi ci sono le sorprese peggiori. Il ricercatore di sicurezza Tom Jøran Sønstebyseter Rønning ha scoperto che Microsoft Edge carica tutte le password salvate nella memoria del browser in testo in chiaro — cioè non crittografato — non appena il browser viene avviato.
Non quando accedi a un sito. Subito, all’avvio.
Microsoft ha risposto che questo comportamento è «previsto dal design».
Ti traduco la faccenda: se un processo malevolo riesce a leggere la RAM di Edge, ha accesso immediato a tutte le tue password, senza bisogno di chiavi di decrittazione o exploit complessi. Un regalo per qualsiasi attaccante.
L’effetto domino: una chiave per tutto il regno
C’è un altro problema strutturale, forse ancora più grave. Quando usi il salvataggio password del browser, probabilmente lo sincronizzi con il tuo account principale: Google, Microsoft o Apple.
E qui scatta l’effetto domino.
Se un hacker riesce ad accedere a quell’account principale, ottiene automaticamente tutte le password sincronizzate nel cloud tramite il browser. Una singola violazione, e l’intera vita digitale è a disposizione. (Kaspersky)
Il paradosso è che questa soluzione domina il mercato. Google Password Manager (32%) e iCloud Keychain (23%) controllano insieme oltre il 55% del mercato dei password manager nel 2024. (Password Manager Industry Report and Statistics)
La stragrande maggioranza delle persone affida le proprie credenziali agli stessi ecosistemi Big Tech che hanno un interesse commerciale a raccogliere dati sul comportamento online. Il gestore di Chrome è legato all’account Google e consente all’azienda di tracciare le tue attività.
Il portachiavi iCloud è vincolante rispetto all’ecosistema Apple, e Firefox — pur essendo più rispettoso della privacy — supporta il salvataggio delle carte di credito, ma non è altrettanto sicuro rispetto ai gestori di password dedicati.
Scegliere il browser come cassaforte significa legare la propria sicurezza a un ecosistema che non è stato progettato con la protezione delle password come priorità assoluta.
Numeri che fanno riflettere
Se pensi che il furto di credenziali sia un problema lontano, ti sbagli. L’Italia è al 5° posto nel mondo per furto di email e password sul dark web, dopo USA, Russia, Germania e Francia. Nel primo semestre 2024, il 36,8% degli utenti italiani ha ricevuto almeno un alert per dati rilevati nel dark web. (Confartigianato Forlì-Cesena)
Più di un italiano su tre ha già le proprie credenziali in ballo. E non è un problema solo nostro.
Solo il 36% degli adulti americani usa un password manager, mentre il 34% salva le password nel browser. La cosa inquietante è che appena il 24% di chi archivia le password nel browser conosce davvero le differenze di sicurezza rispetto a un gestore dedicato. (security.org)
Il resto va avanti per abitudine, convinto che il browser offra una protezione adeguata.
E intanto, le credenziali rubate rappresentano il vettore di accesso iniziale più comune: il 31% delle violazioni analizzate in 10 anni (30.458 incidenti) ha coinvolto credenziali rubate, superando phishing e sfruttamento di vulnerabilità. (Verizon DBIR 2024, via Delinea)
Un ultimo dato: chi non ha un password manager ha quasi il doppio di probabilità di subire un furto d’identità o di credenziali in un anno — 32% contro 17%. (security.org)
Questi numeri non mentono. Il browser non ti sta proteggendo: ti sta dando un’illusione di protezione mentre i furti continuano a crescere.
Cosa rende un gestore dedicato strutturalmente più sicuro
A questo punto la domanda è: cosa cambia davvero con un password manager dedicato? Non è solo un altro cassetto digitale?
La differenza è architetturale. Profonda.
Un gestore password serio adotta due principi che i browser semplicemente non implementano:
Crittografia end-to-end. I browser proteggono principalmente la master password, mentre un gestore come Proton Pass cifra ogni campo con AES-GCM a 256 bit: nomi utente, indirizzi web, note e metadati. Niente resta in chiaro, nemmeno le informazioni che sembrano innocue.
Architettura zero-knowledge. Tutte le operazioni crittografiche avvengono localmente sul tuo dispositivo. I server del fornitore non hanno mai accesso alle chiavi o ai dati in chiaro — nemmeno alla password del tuo account.
In pratica, anche se i server venissero compromessi, i tuoi dati resterebbero illeggibili. Non è una questione di fiducia nel fornitore: è matematica.
Poi ci sono funzionalità che i browser non offrono nemmeno lontanamente: alias hide-my-email per nascondere il tuo vero indirizzo email durante le registrazioni, autenticatore 2FA integrato, monitoraggio del Dark Web, Proton Sentinel (sorveglianza attiva 24/7 con AI e analisti umani), e supporto passkey su tutti i dispositivi.
Non è solo più sicuro. È un modo completamente diverso di pensare alla protezione delle credenziali.
Se vuoi approfondire le buone pratiche di sicurezza informatica, ti consiglio la lettura di 9 consigli per proteggere davvero i tuoi dati online su Uagna.it, dove l’uso dei password manager è il secondo consiglio fondamentale.
Caveat e controindicazioni: la scelta consapevole
Facciamo chiarezza: nessun sistema è perfetto.
Anche i migliori gestori dedicati possono presentare piccole imperfezioni. L’autofill, per esempio, non funziona sempre al 100% su tutti i siti — a volte il campo password non viene riconosciuto correttamente, o la compilazione delle carte di credito non è ancora consistente su tutti i dispositivi. (Segnali dalle community Reddit e recensioni)
Rispetto a concorrenti più maturi come 1Password, alcune soluzioni non offrono ancora categorie extra per archiviare passaporti, conti bancari o documenti di identità. Il ritmo di sviluppo può apparire graduale, e chi cerca un prodotto ricco di funzionalità accessorie da anni potrebbe trovare l’offerta ancora in evoluzione. (Segnali da community Reddit)
C’è poi il tema del lock-in: dipendere da un fornitore unico comporta un certo vincolo, anche se i gestori affidabili consentono l’esportazione completa dei dati, anche se con alcune limitazioni. Alcuni gestori affidabili, come iCloud Keychain, permettono l’esportazione delle password sotto specifiche condizioni.
Chrome, per esempio, ora usa Application-Bound Encryption on Windows to protect its main encryption key, with plans to expand this protection to other data types in future releases. Ma la protezione decade nel momento in cui il dispositivo è compromesso, e il modello non è zero-knowledge: l’effetto domino sull’account master resta un rischio concreto.
La tecnologia da sola non basta. Un password manager è uno strumento potente, ma va accompagnato da maggiore consapevolezza dei comportamenti online.
Dalla comodità apparente alla protezione reale
Ricapitoliamo la questione, perché è importante.
Il keychain del browser ti dà un’illusione di sicurezza che i dati concreti smontano pezzo per pezzo: infostealer in crescita del 33%, password in chiaro nella RAM di Edge, effetto domino sull’account principale, e un’Italia che svetta nelle classifiche del furto credenziali perché continuiamo a fidarci del browser.
Un password manager dedicato non è una soluzione miracolosa, ma aggiunge un livello di protezione strutturale che il browser non può offrire: crittografia end-to-end su ogni campo, architettura zero-knowledge, e funzioni di sicurezza proattiva come il monitoraggio del dark web e gli alias email.
La buona notizia è che puoi iniziare subito, senza impegno e senza spendere un euro. Esistono opzioni gratuite complete — login, note e carte di credito illimitati, accesso da dispositivi illimitati, app per browser, desktop e mobile — che non richiedono nemmeno la carta di credito per l’attivazione.
Provare un gestore dedicato è il primo passo per smettere di affidarsi al browser e passare da una protezione apparente a una protezione reale. Non serve essere esperti di sicurezza informatica. Basta volerlo fare
Scrivi un commento