Spiegazione · Basi di sicurezza
I password manager sono sicuri?
È la domanda giusta da porsi prima di affidare a un solo strumento le chiavi di tutta la tua vita online. La risposta: sì, uno affidabile è molto più sicuro di ciò che fa oggi la maggior parte delle persone, ma la violazione di LastPass ha mostrato perché conta quale scegli. Ecco come funzionano e a cosa fare attenzione.
Ultimo aggiornamento: July 10, 2026 · Scritto dal team di Privacy Intact; vedi come valutiamo.
Come un password manager ti protegge davvero
Un gestore conserva tutti i tuoi accessi in una «cassaforte» cifrata. La parte cruciale è la crittografia zero-knowledge: la tua cassaforte viene bloccata e sbloccata sul tuo dispositivo con la tua password principale, e l'azienda conserva sempre e solo la versione cifrata. Non può leggere le tue password, e soprattutto non può farlo nemmeno un aggressore che irrompe nei suoi server, perché ciò che ruberebbe è illeggibile senza la tua password principale.
Ecco l'intero modello di sicurezza in una frase: l'azienda conserva i tuoi dati ma non può mai vederli. È il motivo per cui un buon gestore è affidabile pur custodendo così tanto.
«Ma un'unica cassaforte non è un singolo punto di rottura?»
È il timore più diffuso, e ribalta il rischio. Per quasi tutti, il pericolo reale non è una cassaforte craccata, è il riutilizzo delle password. Usa la stessa password in dieci posti e una sola fuga consegna a un aggressore tutti e dieci. È così che la maggior parte delle persone viene davvero compromessa.
L'intero compito di un gestore è eliminare il riutilizzo: ogni account riceve la sua password lunga e casuale che non devi mai ricordare. Sì, stai concentrando il rischio in un'unica cassaforte, ma è una cassaforte con crittografia zero-knowledge e (con una password principale robusta) molto più difficile da craccare delle password deboli e ripetute che sostituisce. Lo scambio è nettamente a tuo favore.
La lezione di LastPass: quale gestore conta
Ecco la precisazione che conta. LastPass, a lungo una scelta predefinita, ha subito una grave violazione nel 2022-2023 nella quale gli aggressori hanno rubato copie cifrate delle cassaforti di password di oltre 25 milioni di utenti; e, poiché molte cassaforti più vecchie usavano impostazioni deboli di rafforzamento della password e memorizzavano gli indirizzi dei siti web senza cifratura, da allora i ricercatori di sicurezza hanno collegato i dati rubati a furti di criptovalute su larga scala. La crittografia ha fatto sì che le password principali robuste reggessero in larga parte, ma quelle più deboli sono state esposte al brute-forcing, e la sola ampiezza dell'episodio è stata un campanello d'allarme.
La conclusione non è diffidare di tutti i gestori, è che l'ingegneria e lo storico di un gestore fanno parte della sua sicurezza. Scegline uno che usi solide impostazioni di crittografia predefinite e che non abbia consegnato le casseforti dei suoi utenti agli aggressori. Le nostre scelte superano tutte quell'asticella; LastPass è quello da cui teniamo alla larga le persone.
I rischi reali (e come azzerarli)
- Una password principale debole. Tutto poggia su di lei. Usa una lunga frase di accesso fatta di più parole casuali, unica per il tuo gestore, e non scriverla mai in un'email o in una nota.
- Nessun secondo fattore. Attiva l'autenticazione a due fattori per il tuo gestore, così una password principale trapelata non basta da sola ad aprire la cassaforte.
- Phishing. Un gestore non compila i campi su un dominio falso (un superpotere silenzioso), ma se digiti a mano la tua password principale in una pagina falsa convincente, resta esposta. Rallenta davanti ai messaggi urgenti del tipo «accedi subito».
- Un dispositivo infetto. Il gestore non può proteggerti se un malware sta già osservando i tasti che premi, ed è per questo che l'igiene di base del dispositivo e gli aggiornamenti contano ancora.
In conclusione
Un password manager affidabile è uno degli interventi a maggior impatto e minor sforzo che puoi fare per la tua sicurezza, e non devi nemmeno pagarlo. L'unico vero compito è scegliere uno di cui ci si possa fidare e proteggere la tua password principale.
Domande frequenti
Sicurezza dei password manager, le risposte
I password manager sono sicuri da usare?
Sì: per la stragrande maggioranza delle persone, un password manager affidabile è molto più sicuro dell'alternativa, cioè riutilizzare o memorizzare le password. Usano la crittografia zero-knowledge, il che significa che l'azienda stessa non può leggere la tua cassaforte, e nemmeno un aggressore che ne viola i server. I dati sono inutili senza la tua password principale. Ciò che va scelto con cura è quale gestore, in base alla sua ingegneria e al suo storico.
Mettere tutte le password in un solo posto non è rischioso?
Sembra di sì, ma è vero il contrario. La minaccia realistica per la maggior parte delle persone non è una cassaforte craccata, è il riutilizzo delle password, dove una sola password trapelata sblocca dieci account. Un gestore risolve esattamente questo, dando a ogni account una password forte e unica che non devi ricordare. Con la crittografia zero-knowledge e una password principale robusta, l'«unico paniere» è chiuso a chiave molto bene.
Cosa è successo con LastPass?
LastPass, un tempo tra i consigli migliori, ha subito una grave violazione nel 2022-2023 nella quale gli aggressori hanno rubato copie cifrate delle cassaforti di password di oltre 25 milioni di utenti; e, poiché molte cassaforti più vecchie usavano impostazioni deboli di rafforzamento della password e memorizzavano gli indirizzi dei siti web senza cifratura, da allora i ricercatori di sicurezza hanno collegato i dati rubati a furti di criptovalute su larga scala. La lezione non è «i password manager non sono sicuri»; è che l'ingegneria e lo storico contano, e che dovresti scegliere un gestore che non ha esposto le casseforti dei suoi utenti. Molti non l'hanno fatto.
Qual è la singola cosa più importante da fare bene?
La tua password principale. È l'unica chiave per tutto, quindi deve essere lunga, unica e mai riutilizzata altrove: una frase di accesso composta da più parole casuali funziona bene. Abbinala all'autenticazione a due fattori sul tuo gestore, e perfino un aggressore determinato resta fuori.