--- id: CP-038 slug: attacco-forza-bruta-gpu-asic lang: it title: Attacco a forza bruta e potenza di calcolo description: Come un attaccante prova migliaia di password, online o su un database rubato, e che cosa può vedere e fare il dipendente. canonical_url: https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/ markdown_url: https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Attacco a forza bruta e potenza di calcolo», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-010 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ en: https://startbrain.io/cyberpedia/en/articles/brute-force-attack-gpu-asic/ de: https://startbrain.io/cyberpedia/de/articles/brute-force-angriff-gpu-asic/ es: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ nl: https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/ sources: - "n": 1 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 2 title: "Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/002/ accessed: "2026-11-03" - "n": 3 title: Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 4 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 5 title: "Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/003/ accessed: "2026-11-03" - "n": 6 title: "Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/001/ accessed: "2026-11-03" - "n": 7 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Attacco a forza bruta e potenza di calcolo Un attacco a forza bruta consiste nel provare le password una dopo l'altra fino a trovare quella giusta. Prende di mira account la cui password è sconosciuta all'attaccante, oppure impronte di password (hash) che l'attaccante ha ottenuto [1]. Per un dipendente, una password breve o comune cade in fretta, che l'attacco colpisca la pagina di accesso dell'azienda o un database rubato. ## In 30 secondi - Dove succede: su un servizio di accesso (posta elettronica, VPN, accesso remoto), oppure offline, su hash di password già sottratti [1]. - Cosa vuole l'attaccante: ottenere una password in chiaro, utilizzabile per accedere a tutti i sistemi a cui l'account dà accesso [2]. - Il riflesso: una password lunga e unica per ogni servizio, conservata in un gestore di password, con l'autenticazione a due fattori quando esiste [3]. - Se è già successo: cambiare subito la password al minimo sospetto [3]. ## Domande dirette ### Che cos'è un attacco a forza bruta? È una ricerca sistematica, tramite un meccanismo ripetitivo, di una password sconosciuta [1]. Può avvenire interrogando un servizio che verifica le credenziali, oppure offline su dati già rubati, come gli hash [1]. Cybermalveillance.gouv.fr precisa che questi attacchi, eseguiti da computer, possono provare decine di migliaia di combinazioni al secondo [3]. ### Che differenza c'è tra attacco online e attacco offline? Online, l'attaccante passa dal servizio di accesso, che può contare i fallimenti e bloccare. Offline, dispone già degli hash e lavora per lo più sulle proprie macchine, fuori dalla rete della vittima [2]. ### La mia password è a rischio se un altro sito è stato violato? Sì, se è riutilizzata. Quando un sito viene compromesso, a volte grandi quantità di coppie di nome utente e password vengono pubblicate. L'attaccante le prova su altri account, contando sulla tendenza a riutilizzare la stessa password nella vita privata e al lavoro [4]. ### Basta una regola di blocco dell'account? No. Il password spraying aggira il blocco: l'attaccante prova una sola password comune, o un breve elenco, su molti account, per evitare i blocchi che scatterebbero su un account colpito da molti tentativi [5]. Inoltre un blocco troppo severo può bloccare tutti gli account presi di mira e rendere l'ambiente inutilizzabile [1]. ## Nei panni dell'attaccante L'attaccante sceglie il metodo in base a ciò che possiede. Senza nulla, tira a indovinare: prova un elenco di password comuni, tenendo conto o meno della politica di complessità del bersaglio [6]. Per lui è una scelta rischiosa, perché può provocare molti fallimenti e blocchi [6]. Con un elenco di credenziali ottenuto da una fuga di dati, passa al credential stuffing [4]. Con una sola password comune provata su molti account, si parla di password spraying [5]. Con gli hash, decifra le password offline, con una ricerca sistematica o con una tabella precalcolata detta rainbow table [2]. I servizi presi di mira sono spesso servizi di amministrazione su porte comuni: SSH, RDP, SMB o LDAP, per esempio [5]. Lo sono anche le applicazioni cloud e la posta esposta su Internet, come Office 365 [6]. Un attaccante può anche adattare il proprio ambiente. Se trova la password giusta ma viene fermato da regole di accesso legate alla posizione, può cambiare infrastruttura finché non corrisponde alla posizione della vittima [1]. ## Cosa si vede sullo schermo La vittima di un attacco online vede soprattutto effetti indiretti: una regola di blocco può bloccarne l'account [1]. Nei registri, i tentativi di accesso SMB falliti producono l'evento Windows 4625; i tentativi LDAP e Kerberos lo generano meno spesso [6]. Il segnale classico per i team di sicurezza è un gran numero di fallimenti seguito da un successo, da un utente, una macchina o un orario sospetti [1]. Il password spraying si riconosce dai tentativi distribuiti su molti account in un breve intervallo [1]. Un altro segnale: richieste di approvazione dell'autenticazione a due fattori che non avete avviato. CISA descrive la tecnica del «MFA bombing» o «MFA fatigue», in cui l'attaccante invia richieste al dispositivo della vittima finché non accetta [7]. Dopo un attacco offline, il segno visibile è un accesso valido e improvviso da un account i cui hash erano stati rubati [2]. ## Sotto il cofano Normalmente una password non è memorizzata in chiaro, ma sotto forma di hash. La pagina citata è la revisione SP 800-63-3 del NIST, sostituita dalla SP 800-63-4 dal 1° agosto 2025 [8]. Questa revisione chiedeva che le password fossero salate e poi sottoposte a hash con una funzione di derivazione della chiave adeguata [8]. Una funzione di questo tipo riceve in ingresso la password, un sale e un fattore di costo, e produce l'hash [8]. Il sale deve essere di almeno 32 bit e scelto in modo arbitrario, per limitare le collisioni tra gli hash memorizzati [8]. Lo scopo di questa progettazione è rendere costoso ogni tentativo dell'attaccante, e quindi l'intero attacco caro, se non proibitivo [8]. Per PBKDF2, il costo è un numero di iterazioni: più è alto, più il calcolo dell'hash è lungo, e il NIST raccomandava un numero di iterazioni alto quanto il server consente, tipicamente di almeno 10 000 [8]. Il NIST raccomandava anche una funzione memory-hard, che aumenta il costo di un attacco [8]. La potenza di calcolo incide su questo costo. Il NIST rilevava che gli attaccanti possono calcolare molti miliardi di hash al secondo senza limitazione della frequenza, il che imponeva password più complesse di vari ordini di grandezza rispetto a quelle che devono resistere solo ad attacchi online [8]. Le fonti consultate non dettagliano il ruolo delle schede grafiche (GPU) né dei circuiti ASIC. MITRE menziona solo, tra i segni di un'operazione di cracking di hash, l'uso di strumenti come John the Ripper o Hashcat con un forte carico del processore o il ricorso alla GPU [2]. Online, questa revisione imponeva di limitare i fallimenti consecutivi su un account a 100 al massimo, e suggeriva di allungare l'attesa man mano che ci si avvicina al limite (da 30 secondi a un'ora) oppure di richiedere un CAPTCHA [8]. Per le password, fissava un minimo di 8 caratteri e chiedeva di rifiutare quelle presenti in un elenco di valori compromessi [8]. Cybermalveillance.gouv.fr raccomanda almeno 12 caratteri che combinino maiuscole, minuscole, cifre e caratteri speciali [3]. ## Autopsie ### Febbraio 2024: l'avviso CISA sul gruppo APT29 Il 26 febbraio 2024 CISA pubblica l'avviso AA24-057A insieme al NCSC britannico e ad alcuni partner. Descrive i metodi del gruppo APT29, detto anche Midnight Blizzard, che queste agenzie ritengono quasi certamente legato al SVR, il servizio di intelligence russo [7]. I metodi descritti sono stati osservati negli ultimi 12 mesi [7]. Le campagne precedenti sono riuscite, con la forza bruta e il password spraying, ad accedere ad account di servizio [7]. Questi account non hanno un utente umano, quindi si proteggono male con l'autenticazione a due fattori, e spesso hanno privilegi molto elevati [7]. Il gruppo ha preso di mira anche account dormienti di ex dipendenti [7]. Ha usato proxy residenziali perché le sue connessioni somigliassero a quelle di utenti comuni [7]. ### 2016: un attacco alla rete elettrica ucraina Durante l'attacco del 2016 alla rete elettrica ucraina, Sandworm Team ha usato uno script per tentare un'autenticazione RPC contro più macchine [1]. ### 2025: attacchi di cancellazione in Polonia Durante gli attacchi del 2025 in Polonia, che miravano a cancellare dati, gli aggressori hanno tentato di decifrare le password degli utenti [2]. ### Aprile 2026: un rapporto su un'intrusione assistita da IA in Messico MITRE cita un'intrusione contro l'infrastruttura del governo messicano, documentata nell'aprile 2026. L'attaccante vi ha incaricato Claude Code di tentare accessi SSH a forza bruta [1] e di decifrare hash di password dai database delle organizzazioni vittime [2]. ## Fonti 1. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/002/ (consultato il 3 novembre 2026) 3. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance», 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/003/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/001/ (consultato il 3 novembre 2026) 7. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 febbraio 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultato il 3 novembre 2026) 8. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.