Cyberpediadi Brain
ITDEENESFR

Credential stuffing

Le password rubate in una violazione di dati vengono provate da bot su altri servizi. Come funziona l'attacco e come difendersi.

In 30 secondi

Dove succede
Su qualsiasi servizio con un modulo di accesso, comprese la posta elettronica, le applicazioni online dell'azienda e i portali di single sign-on12.
Cosa vuole l'attaccante
Trovare, tra le coppie di credenziali rubate, quelle che aprono un account reale, contando sul riutilizzo delle password12.
Il riflesso
Una password diversa per ogni servizio, conservata in un gestore di password, con l'autenticazione a due fattori quando è disponibile56.
Se è già successo
Cambiare subito la password interessata5.

Di cosa si tratta

Il credential stuffing, in italiano reinserimento di credenziali, consiste nel prendere coppie di nome utente e password rubate in una violazione di dati e provarle in modo automatico su altri siti. L'OWASP lo descrive come l'inserimento automatizzato di queste coppie nei moduli di accesso, per ottenere un accesso fraudolento agli account1.

Al dipendente non serve commettere alcun errore per essere colpito: il suo account non è stato attaccato direttamente. Basta che una password usata su un sito di poco conto serva anche altrove, per esempio per la posta elettronica aziendale.

Domande dirette

Che differenza c'è con la forza bruta?

La forza bruta prova più password contro uno o più account: l'attaccante tira a indovinare. Il credential stuffing usa coppie già note, provenienti da una violazione, contro altri siti1. L'OWASP lo classifica come un sottoinsieme della forza bruta, e MITRE ne fa la sotto-tecnica T1110.004 della tecnica «Brute Force»12.

Perché funziona?

Perché molte persone riutilizzano la stessa password e lo stesso nome utente o lo stesso indirizzo e-mail. Quando questi dati vengono esposti, inviarli a decine o centinaia di altri siti può bastare per comprometterne gli account1. MITRE aggiunge che il riutilizzo riguarda sia gli account personali sia quelli professionali2.

La mia password è lunga e complessa: sono al sicuro?

No, se la usa in più posti. Secondo la CISA, riutilizzare una password, anche robusta, mette a rischio gli account quanto una password debole7. La lunghezza protegge dai tentativi di indovinare, non dal riutilizzo di una password già rubata.

Una password riutilizzata è l'unica porta d'ingresso?

No. L'OWASP segnala che i dati di una violazione servono anche a reimpostare le password, soprattutto per gli account aziendali: le domande di sicurezza, gli indirizzi di recupero o altre informazioni personali contenute nella violazione permettono allora di prendere il controllo dell'account anche senza riutilizzo1.

Un account violato può servire ad altro?

Sì. Un account valido permette di entrare nella rete senza software malevolo, e questo rende più difficile individuare la presenza dell'attaccante4.

1Nei panni dell'attaccante1 min

L'attaccante comincia procurandosi delle credenziali: la violazione di un sito, il phishing o un sito di raccolta di password1. Non ha bisogno di avercela con una persona in particolare. La CISA osserva che un attacco spesso non mira a un account preciso, ma all'accesso che esso offre per lanciare un attacco più ampio7.

Affida poi queste coppie a strumenti automatici, che le provano su numerosi siti: social network, negozi online, applicazioni web1. Un accesso riuscito gli indica che possiede credenziali valide1.

Resta da sfruttarle. L'OWASP cita quattro seguiti possibili: svuotare gli account del valore memorizzato o fare acquisti, leggere informazioni sensibili (numeri di carta, messaggi privati, documenti), inviare messaggi di phishing o spam dall'account, rivendere le credenziali valide ad altri attaccanti1.

MITRE sottolinea che questo metodo può provocare numerosi errori di autenticazione e blocchi degli account, a seconda della politica dell'organizzazione colpita2. I difensori, dal canto loro, possono bloccare le richieste di accesso rischiose, come quelle che passano da servizi di anonimizzazione o da proxy2.

2Cosa si vede sullo schermo1 min

La vittima raramente vede l'attacco in sé. Ne vede gli effetti, che variano a seconda di ciò che l'attaccante ha deciso di fare dell'account.

  • Un messaggio del servizio che segnala un accesso da un dispositivo sconosciuto. La CNIL descrive questo caso: il sito avvisa con un SMS o una e-mail, e la persona può autorizzare o rifiutare l'accesso6.
  • Un account bloccato, dopo numerosi tentativi di accesso falliti. MITRE cita questi blocchi come una conseguenza possibile2.
  • Acquisti, messaggi o documenti interessati che il titolare non ha fatto né inviato, dato che sono gli usi descritti dall'OWASP1.
  • Un'e-mail di reimpostazione della password che nessuno ha richiesto. Cybermalveillance.gouv.fr spiega perché la posta elettronica è un bersaglio: riceve i link di reimpostazione degli altri account, e chi la viola può usare la funzione «password dimenticata» per prendere il controllo, per esempio, di un conto bancario5.

Nessuna di queste situazioni prova da sola un credential stuffing. Tutte giustificano il cambio della password e, se l'account è professionale, l'avviso al servizio informatico.

3Sotto il cofanoTeam IT1 min

L'OWASP illustra il meccanismo con uno schema: il database di un sito, acme.com, viene compromesso. L'attaccante prova queste credenziali su altri tre siti. Constata che un utente, «spongebob», riutilizza la password su due siti e che un'utente, «sally», la riutilizza su un sito: tre account vengono aperti1.

I bersagli non si limitano ai siti per il grande pubblico. MITRE cita servizi di amministrazione su porte comuni (SSH, RDP, SMB, LDAP, database), ma anche il single sign-on, le applicazioni cloud basate su protocolli federati e i servizi di posta esposti come Office 3652. Sul fronte del rilevamento, MITRE descrive segnali tipici: numerosi errori con coppie diverse da uno stesso indirizzo IP in poco tempo, oppure errori su applicazioni cloud con coppie provenienti da domini senza relazione tra loro2.

Un altro punto tecnico: quando un attaccante conosce la password giusta ma si scontra con una regola di accesso basata sul luogo, può cambiare infrastruttura per corrispondere alla posizione della vittima e aggirare la regola3.

Le contromisure lato organizzazione, secondo MITRE: bloccare gli account dopo un certo numero di errori (una regola troppo severa può bloccare account legittimi), imporre l'autenticazione a più fattori, reimpostare in modo proattivo gli account noti per comparire in violazioni2. L'OWASP indica l'autenticazione a più fattori come contromisura principale1.

4Cosa fa Lei1 min
  • Una password diversa per ogni servizio. In questo modo, se una viene rubata, solo il servizio interessato è vulnerabile5. La CNIL chiede una password propria e unica per ogni account sensibile (banca, posta elettronica, social network) per evitare le violazioni a catena6.
  • Un gestore di password, che ricorda al posto Suo password lunghe e tutte diverse6. Cybermalveillance.gouv.fr cita KeePassXC, certificato dall'ANSSI nella versione 2.7.95. La password principale del gestore deve essere a sua volta solida7.
  • L'autenticazione a due fattori quando il servizio la offre: oltre alla password, una conferma tramite codice, app, chiave o biometria fa sì che solo Lei autorizzi un nuovo dispositivo5.
  • Un cambio immediato al minimo sospetto, o appena si viene a sapere che un'azienda in cui si ha un account è stata violata, senza aspettare di sapere se è vero5.
  • Una password di posta elettronica particolarmente robusta, perché apre la reimpostazione di molti altri account5.

L'NCSC britannico indica inoltre, in una notizia del 23 aprile 2026, che le passkey sono un metodo di accesso più sicuro e più semplice, e dovrebbero essere l'opzione predefinita per i privati8.

5Gli errori da evitare1 min
  • Credere che un account «senza importanza» non conti. Una password rubata su un sito secondario viene provata altrove1.
  • Memorizzare una sola buona password e riutilizzarla identica. Questo è riutilizzo7.
  • Conservare le password su un foglietto, nella propria posta elettronica, in un file non protetto o nel telefono5.
  • Salvare le password nel browser di un computer condiviso6.
6AutopsieCasi reali1 min

L'OWASP raccoglie violazioni che, secondo la sua analisi, derivano da credential stuffing. Eccone quattro, come le riporta1.

Sony, 2011

Un analista rileva che, tra gli utenti presenti sia nei dati di Sony sia in quelli della violazione di Gawker avvenuta prima, nello stesso anno, due terzi avevano la stessa password su entrambi i sistemi1.

Yahoo, 2012

L'OWASP cita Troy Hunt, che accosta le violazioni di Sony e di Yahoo per un punto in comune: le password1.

Dropbox, 2012

Dropbox ha dichiarato che i nomi utente e le password citati dalla stampa erano stati rubati su altri servizi, non presso di sé. Degli attaccanti li avevano poi provati su siti di tutta internet, tra cui Dropbox1.

JPMorgan Chase, 2014

I dati della violazione contenevano combinazioni di password e indirizzi di partecipanti iscritti al sito Corporate Challenge, una piattaforma di corse benefiche annuali gestita da un fornitore esterno, aperte ai dipendenti della banca e di altre aziende. L'OWASP precisa che questa violazione proviene da una fonte distinta: gli attaccanti hanno preso di mira un sito di corse di terzi per ricavarne credenziali da usare contro JPMC1.

Scheda

Identificativo
CP-036
Ala
1. Attacchi e tecniche
Competenza Brain
Gestire le password (master_passwords)
Riflesso Brain
cr-008
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
8 fonti verificate il 3 novembre 2026
Fonti8 fonti
  1. OWASP, «Credential stuffing | OWASP Foundation». https://community.owasp.org/attacks/Credential_stuffing (consultato il 3 novembre 2026)
  2. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultato il 3 novembre 2026)
  5. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultato il 3 novembre 2026)
  6. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 gennaio 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultato il 3 novembre 2026)
  7. CISA, «Choosing and Protecting Passwords», 21 maggio 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (consultato il 3 novembre 2026)
  8. NCSC (Royaume-Uni), «Password administration for system owners», 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Credential stuffing», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/credential-stuffing-reinserimento-credenziali/

BibTeX 
@misc{brain_cp036_it_2026,
  author = {Brain},
  title = {Credential stuffing},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/credential-stuffing-reinserimento-credenziali/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0