Attacco a forza bruta e potenza di calcolo
Come un attaccante prova migliaia di password, online o su un database rubato, e che cosa può vedere e fare il dipendente.
In 30 secondi
- Dove succede
- Su un servizio di accesso (posta elettronica, VPN, accesso remoto), oppure offline, su hash di password già sottratti1.
- Cosa vuole l'attaccante
- Ottenere una password in chiaro, utilizzabile per accedere a tutti i sistemi a cui l'account dà accesso2.
- Il riflesso
- Una password lunga e unica per ogni servizio, conservata in un gestore di password, con l'autenticazione a due fattori quando esiste3.
- Se è già successo
- Cambiare subito la password al minimo sospetto3.
Di cosa si tratta
Un attacco a forza bruta consiste nel provare le password una dopo l'altra fino a trovare quella giusta. Prende di mira account la cui password è sconosciuta all'attaccante, oppure impronte di password (hash) che l'attaccante ha ottenuto1.
Per un dipendente, una password breve o comune cade in fretta, che l'attacco colpisca la pagina di accesso dell'azienda o un database rubato.
Domande dirette
Che cos'è un attacco a forza bruta?
È una ricerca sistematica, tramite un meccanismo ripetitivo, di una password sconosciuta1. Può avvenire interrogando un servizio che verifica le credenziali, oppure offline su dati già rubati, come gli hash1. Cybermalveillance.gouv.fr precisa che questi attacchi, eseguiti da computer, possono provare decine di migliaia di combinazioni al secondo3.
Che differenza c'è tra attacco online e attacco offline?
Online, l'attaccante passa dal servizio di accesso, che può contare i fallimenti e bloccare. Offline, dispone già degli hash e lavora per lo più sulle proprie macchine, fuori dalla rete della vittima2.
La mia password è a rischio se un altro sito è stato violato?
Sì, se è riutilizzata. Quando un sito viene compromesso, a volte grandi quantità di coppie di nome utente e password vengono pubblicate. L'attaccante le prova su altri account, contando sulla tendenza a riutilizzare la stessa password nella vita privata e al lavoro4.
Basta una regola di blocco dell'account?
No. Il password spraying aggira il blocco: l'attaccante prova una sola password comune, o un breve elenco, su molti account, per evitare i blocchi che scatterebbero su un account colpito da molti tentativi5. Inoltre un blocco troppo severo può bloccare tutti gli account presi di mira e rendere l'ambiente inutilizzabile1.
1Nei panni dell'attaccante1 min
L'attaccante sceglie il metodo in base a ciò che possiede. Senza nulla, tira a indovinare: prova un elenco di password comuni, tenendo conto o meno della politica di complessità del bersaglio6. Per lui è una scelta rischiosa, perché può provocare molti fallimenti e blocchi6.
Con un elenco di credenziali ottenuto da una fuga di dati, passa al credential stuffing4. Con una sola password comune provata su molti account, si parla di password spraying5. Con gli hash, decifra le password offline, con una ricerca sistematica o con una tabella precalcolata detta rainbow table2.
I servizi presi di mira sono spesso servizi di amministrazione su porte comuni: SSH, RDP, SMB o LDAP, per esempio5. Lo sono anche le applicazioni cloud e la posta esposta su Internet, come Office 3656.
Un attaccante può anche adattare il proprio ambiente. Se trova la password giusta ma viene fermato da regole di accesso legate alla posizione, può cambiare infrastruttura finché non corrisponde alla posizione della vittima1.
2Cosa si vede sullo schermo1 min
La vittima di un attacco online vede soprattutto effetti indiretti: una regola di blocco può bloccarne l'account1. Nei registri, i tentativi di accesso SMB falliti producono l'evento Windows 4625; i tentativi LDAP e Kerberos lo generano meno spesso6.
Il segnale classico per i team di sicurezza è un gran numero di fallimenti seguito da un successo, da un utente, una macchina o un orario sospetti1. Il password spraying si riconosce dai tentativi distribuiti su molti account in un breve intervallo1.
Un altro segnale: richieste di approvazione dell'autenticazione a due fattori che non avete avviato. CISA descrive la tecnica del «MFA bombing» o «MFA fatigue», in cui l'attaccante invia richieste al dispositivo della vittima finché non accetta7.
Dopo un attacco offline, il segno visibile è un accesso valido e improvviso da un account i cui hash erano stati rubati2.
3Sotto il cofanoTeam IT2 min
Normalmente una password non è memorizzata in chiaro, ma sotto forma di hash. La pagina citata è la revisione SP 800-63-3 del NIST, sostituita dalla SP 800-63-4 dal 1° agosto 20258. Questa revisione chiedeva che le password fossero salate e poi sottoposte a hash con una funzione di derivazione della chiave adeguata8. Una funzione di questo tipo riceve in ingresso la password, un sale e un fattore di costo, e produce l'hash8. Il sale deve essere di almeno 32 bit e scelto in modo arbitrario, per limitare le collisioni tra gli hash memorizzati8.
Lo scopo di questa progettazione è rendere costoso ogni tentativo dell'attaccante, e quindi l'intero attacco caro, se non proibitivo8. Per PBKDF2, il costo è un numero di iterazioni: più è alto, più il calcolo dell'hash è lungo, e il NIST raccomandava un numero di iterazioni alto quanto il server consente, tipicamente di almeno 10 0008. Il NIST raccomandava anche una funzione memory-hard, che aumenta il costo di un attacco8.
La potenza di calcolo incide su questo costo. Il NIST rilevava che gli attaccanti possono calcolare molti miliardi di hash al secondo senza limitazione della frequenza, il che imponeva password più complesse di vari ordini di grandezza rispetto a quelle che devono resistere solo ad attacchi online8. Le fonti consultate non dettagliano il ruolo delle schede grafiche (GPU) né dei circuiti ASIC. MITRE menziona solo, tra i segni di un'operazione di cracking di hash, l'uso di strumenti come John the Ripper o Hashcat con un forte carico del processore o il ricorso alla GPU2.
Online, questa revisione imponeva di limitare i fallimenti consecutivi su un account a 100 al massimo, e suggeriva di allungare l'attesa man mano che ci si avvicina al limite (da 30 secondi a un'ora) oppure di richiedere un CAPTCHA8. Per le password, fissava un minimo di 8 caratteri e chiedeva di rifiutare quelle presenti in un elenco di valori compromessi8. Cybermalveillance.gouv.fr raccomanda almeno 12 caratteri che combinino maiuscole, minuscole, cifre e caratteri speciali3.
4AutopsieCasi reali2 min
Febbraio 2024: l'avviso CISA sul gruppo APT29
Il 26 febbraio 2024 CISA pubblica l'avviso AA24-057A insieme al NCSC britannico e ad alcuni partner. Descrive i metodi del gruppo APT29, detto anche Midnight Blizzard, che queste agenzie ritengono quasi certamente legato al SVR, il servizio di intelligence russo7. I metodi descritti sono stati osservati negli ultimi 12 mesi7.
Le campagne precedenti sono riuscite, con la forza bruta e il password spraying, ad accedere ad account di servizio7. Questi account non hanno un utente umano, quindi si proteggono male con l'autenticazione a due fattori, e spesso hanno privilegi molto elevati7. Il gruppo ha preso di mira anche account dormienti di ex dipendenti7. Ha usato proxy residenziali perché le sue connessioni somigliassero a quelle di utenti comuni7.
2016: un attacco alla rete elettrica ucraina
Durante l'attacco del 2016 alla rete elettrica ucraina, Sandworm Team ha usato uno script per tentare un'autenticazione RPC contro più macchine1.
2025: attacchi di cancellazione in Polonia
Durante gli attacchi del 2025 in Polonia, che miravano a cancellare dati, gli aggressori hanno tentato di decifrare le password degli utenti2.
Aprile 2026: un rapporto su un'intrusione assistita da IA in Messico
MITRE cita un'intrusione contro l'infrastruttura del governo messicano, documentata nell'aprile 2026. L'attaccante vi ha incaricato Claude Code di tentare accessi SSH a forza bruta1 e di decifrare hash di password dai database delle organizzazioni vittime2.
Scheda
- Identificativo
- CP-038
- Ala
- 1. Attacchi e tecniche
- Competenza Brain
- Gestire le password (master_passwords)
- Riflesso Brain
- cr-010
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 8 fonti verificate il 3 novembre 2026
Fonti8 fonti
- MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/002/ (consultato il 3 novembre 2026)
- Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance», 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/003/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/001/ (consultato il 3 novembre 2026)
- CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 febbraio 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultato il 3 novembre 2026)
- NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Attacco a forza bruta e potenza di calcolo», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp038_it_2026,
author = {Brain},
title = {Attacco a forza bruta e potenza di calcolo},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/},
note = {CC BY 4.0}
}