--- id: CP-348 slug: riutilizzo-password-personale-lavoro lang: it title: Una password riutilizzata tra sito personale e account di lavoro description: "Come la fuga di dati di un sito personale può aprire il Suo account di lavoro e come evitarlo: password unica, gestore di password, doppia verifica." canonical_url: https://startbrain.io/cyberpedia/it/articles/riutilizzo-password-personale-lavoro/ markdown_url: https://startbrain.io/cyberpedia/it/articles/riutilizzo-password-personale-lavoro.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Una password riutilizzata tra sito personale e account di lavoro», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/riutilizzo-password-personale-lavoro/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-011 schema: G2 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/riutilizzo-password-personale-lavoro/ fr: https://startbrain.io/cyberpedia/fr/articles/reutilisation-mot-de-passe-perso-pro/ en: https://startbrain.io/cyberpedia/en/articles/password-reuse-personal-work-accounts/ de: https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf/ es: https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional/ nl: https://startbrain.io/cyberpedia/nl/articles/hergebruik-wachtwoord-prive-werk/ sources: - "n": 1 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 2 title: Credential Stuffing Prevention - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email accessed: "2026-11-03" - "n": 4 title: Managing your passwords publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" - "n": 8 title: "Mots de passe : recommandations pour maîtriser sa sécurité" publisher: CNIL url: https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite published: "2022-10-14" accessed: "2026-11-03" --- # Una password riutilizzata tra sito personale e account di lavoro Quando un sito o un servizio viene violato, a volte vengono pubblicati online elenchi di coppie di nome utente e password. Gli attaccanti li usano per tentare di entrare in altri account, approfittando dell'abitudine di molti utenti di tenere la stessa password per gli account personali e per quelli di lavoro [1]. Questa tecnica si chiama credential stuffing. Il sito violato può quindi essere un forum o un negozio online senza alcun legame con il Suo datore di lavoro. Se la password è la stessa che usa al lavoro, la fuga di dati di quel sito apre anche la porta dell'azienda: MITRE descrive attaccanti che contano sulla tendenza a usare la stessa password per account personali e di lavoro [1]. ## In 30 secondi - Dove accade: sulla posta elettronica, sul portale di accesso unico (SSO) o sulle applicazioni online dell'azienda, che gli attaccanti mettono alla prova con credenziali provenienti da un'altra fuga di dati [1]. - Cosa vuole l'attaccante: entrare con credenziali valide, ottenute da un account che non c'entra con l'azienda [1]. - Se è già successo: cambi al più presto la password della posta elettronica, se è riutilizzata [3]. - Il riflesso: una password diversa per ogni account, conservata in un gestore di password, con l'autenticazione a due fattori attivata [4]. ## Domande dirette ### Come può la fuga di dati di un sito personale toccare il mio account di lavoro? Gli attaccanti raccolgono le coppie pubblicate dopo la violazione di un sito e le provano su altri servizi. Tra i bersagli citati da MITRE ci sono le applicazioni online basate sull'accesso unico e i servizi di posta raggiungibili da Internet, come Office 365 [1]. Se la password è la stessa, il tentativo riesce. ### Perché il mio indirizzo e-mail di lavoro aggrava il rischio? OWASP osserva che molti siti usano l'indirizzo e-mail come nome utente e che la maggior parte delle persone ha un solo indirizzo per tutti i propri account. La combinazione di indirizzo e password diventa allora molto efficace per il credential stuffing [2]. Un indirizzo di lavoro dato a un sito personale fornisce all'attaccante metà della coppia per l'account di lavoro. ### Il mio sito personale non ha importanza. Perché preoccuparsene? Perché all'attaccante non interessa quel sito, ma ciò che permette di provare altrove. L'NCSC britannico lo dice così: una password riservata alla posta elettronica significa che, se dei criminali rubano quella di un account meno importante, non possono usarla per raggiungere la posta [3]. Il ragionamento vale per tutti gli account: nessuno è «senza importanza» finché la sua password serve altrove. ### Che cosa si rischia concretamente se la posta elettronica viene violata? Secondo l'NCSC, un criminale che accede alla Sua posta elettronica può leggere informazioni private, inviare messaggi fingendosi Lei e reimpostare le password degli altri Suoi account [3]. ## Come funziona Una fuga di dati fornisce coppie di nome utente e password. L'attaccante le prova sui servizi di accesso più comuni, tra cui gli accessi di gestione remota, le applicazioni online e la posta elettronica [1]. MITRE precisa che il metodo è rischioso per l'attaccante, perché può provocare molti accessi falliti e blocchi di account, a seconda della politica dell'organizzazione [1]. La CISA racconta il caso di Emma, un racconto illustrativo senza data. Emma riceve l'avviso della sua banca per un bonifico di 700 dollari che non ha richiesto, poi scopre di non riuscire più ad aprire la posta elettronica per reimpostare la password. Aveva la stessa password su entrambi gli account, proveniente da una fuga di dati di un'azienda pubblicata online [6]. ## Cosa fa Lei Un account, una password. La CNIL chiede di proteggere ogni account sensibile (banca, posta elettronica, social network) con una password propria e unica, per evitare violazioni a catena [5]. La CISA raccomanda password di almeno 16 caratteri, casuali, diverse per ogni account [6]. Usi un gestore di password. È impossibile ricordare una password robusta per ogni account, e il gestore se ne occupa: le genera, le conserva e le inserisce al Suo posto [6]. Può anche segnalare che una password è stata divulgata [4]. L'NCSC aggiunge che la compilazione automatica protegge dal phishing, perché la password compare solo sul sito giusto [4]. Resta da ricordare una sola password principale, che l'NCSC consiglia di proteggere a sua volta con l'autenticazione a due fattori [4]. Su un computer condiviso, non lasci mai che il browser memorizzi una password [5]. Attivi l'autenticazione a due fattori. Per l'NCSC è il primo passo, perché protegge anche se la password viene sottratta con il phishing o compromessa [4]. La CISA precisa che le password robuste da sole non bastano più e che i metodi non si equivalgono: la chiave di sicurezza è il più protettivo, il codice ricevuto via SMS o e-mail il meno protettivo, da usare solo in mancanza di meglio [7]. Incoraggia inoltre i dipendenti ad attivarla sui propri account personali [7]. Se una password può essere stata divulgata, la cambi senza attendere. L'NCSC chiede di cambiare al più presto la password della posta elettronica se è stata riutilizzata, poi di sceglierne una robusta e diversa da tutte le altre [3]. La CNIL si aspetta che un servizio colpito da una fuga di dati raccomandi all'utente di modificare le password degli altri servizi, se vi aveva usato la stessa [8]. ## Le trappole - Tenere la stessa password per l'account di lavoro e per account personali: è esattamente il caso descritto da MITRE [1]. L'NCSC parla di una password che non si usa su nessun altro account, «either at home or at work» [3]. - Iscriversi a un sito personale con il proprio indirizzo di lavoro. L'indirizzo fa da nome utente su molti siti, e gli elenchi di coppie circolano con questi indirizzi [2]. - Credere che un sito secondario non conti. Una password è valida ovunque sia stata riutilizzata, qualunque sia il sito da cui è stata divulgata [1]. - Accontentarsi di un codice via SMS o e-mail. È meglio di niente, ma è la forma più debole di autenticazione a due fattori [7]. - Non sapere quali password sono riutilizzate. Un gestore può segnalare le password deboli o riutilizzate [6]. ## Fonti 1. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultato il 3 novembre 2026) 2. OWASP, «Credential Stuffing Prevention - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html (consultato il 3 novembre 2026) 3. NCSC (Royaume-Uni), «Use a strong and separate password for your email». https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (consultato il 3 novembre 2026) 4. NCSC (Royaume-Uni), «Managing your passwords». https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers (consultato il 3 novembre 2026) 5. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 gennaio 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultato il 3 novembre 2026) 6. CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultato il 3 novembre 2026) 7. CISA, «Require Multifactor Authentication | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (consultato il 3 novembre 2026) 8. CNIL, «Mots de passe : recommandations pour maîtriser sa sécurité», 14 ottobre 2022. https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/riutilizzo-password-personale-lavoro/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.