Credential stuffing: perché riusare la password è più pericoloso del breach originale
Il credential stuffing prova la password rubata su centinaia di siti in automatico. Ecco perché riusarla è il vero pericolo e cosa fare subito per difendersi.
Hai controllato l’email su Have I Been Pwned (o hai ricevuto un avviso) e trovi un breach legato a un vecchio e-commerce o a un forum dimenticato.
Il pensiero tipico: «Ho cambiato la password lì. Problema chiuso.»
Se quella stessa combinazione email + password (o una variante molto simile) è usata altrove, il problema può essere appena iniziato. Oggi il danno peggiore di una fuga di dati raramente è l’accesso al solo servizio violato: è il credential stuffing — l’uso automatizzato di quelle credenziali su centinaia di altri login.
Qui: cos’è, perché è peggio del breach singolo, e in che ordine muoversi. Per il controllo HIBP resta la guida su email e password compromesse.
Che cos’è il credential stuffing
Credential stuffing («imbottitura di credenziali») è un attacco basato sull’automazione.
Dopo una violazione, gli aggressori ottengono liste enormi di coppie email:password. Invece di entrare a mano, le danno a bot che le testano su siti ad alta priorità: posta, banche, marketplace, social, wallet.
Si appoggia a un’abitudine umana frequente: riusare la stessa password per comodità.
| Fase | Intervento umano | Cosa succede |
|---|---|---|
| 1. Data breach Fuga iniziale | Variabile | Un sito viene violato; il database utenti viene rubato e spesso rivenduto o pubblicato. |
| 2. Combo list Liste email:password | Automatizzato | Script aggrega milioni di righe nel formato email:password. |
| 3. Stuffing Test a tappeto | Automatizzato | Botnet prova le combinazioni su login e API di siti terzi a grande velocità. |
Anche se solo una piccola frazione degli utenti ha riutilizzato la password, su milioni di record l’aggressore ottiene comunque migliaia di accessi validi — senza «bucare» le difese di quei siti terzi.
I siti seri cercano di rallentare lo stuffing (CAPTCHA, rate limit, rilevazione bot). Aiuta, ma non ti salva se le credenziali sono corrette: a un certo punto un login valido passa. La tua leva personale resta: password unica + 2FA.
Perché è peggio del breach singolo
⚠️ Attenzione — Asimmetria del rischio
Il sito violato è spesso minore (forum, piccolo shop, app dimenticata). Se la password è riusata, diventa la chiave d’ingresso agli account importanti: email, banca, cloud. Quei servizi possono avere perimetri solidi, ma non ti salvano se qualcuno bussa con le chiavi giuste.
La superficie di danno cresce con il numero di servizi in cui hai riusato la stessa stringa. Non sono solo i punti fedeltà: posta privata, social usati per truffe ai contatti, wallet digitali.
Esempio: dal forum alla casella email
Scenario tipico (nomi fittizi):
Nel 2019 Marco si iscrive a un forum di auto d’epoca con marco.rossi@email.it e Squadra99! — la stessa password «un po’ dappertutto». Poi non ci torna più.
Anni dopo il forum viene violato; le password non erano protette bene. Il dump finisce online. A nessuno importa dei thread sulle auto: i bot prendono marco.rossi@email.it:Squadra99! e lo provano su Gmail, Outlook, Apple ID, Amazon, PayPal…
Se l’email principale cede, il passo successivo può essere il reset delle altre password, intercettando i messaggi di recupero. Un vecchio forum diventa il punto di ingresso all’identità digitale.
Il mito delle «varianti»
Molti si sentono al sicuro con schemi tipo:
Password1!per l’emailPassword2!per AmazonPasswordFB!per Facebook
Contro stuffing e dizionari basati su regole, la protezione è scarsa. Quando compare Password1! in un dump, gli strumenti possono provare automaticamente varianti banali: ultimo numero, anno, maiuscole, ! in coda. Se la radice è nota, le varianti deboli cadono in fretta.
Cosa fare subito: ordine di priorità
Se sospetti riuso dopo un breach, non disperderti: bonifica in ordine.
1. Email principale
È il passepartout: chi la controlla può resettare quasi tutto. Cambia con una password lunga, unica, generata. Controlla inoltri automatici / regole di filtro verso indirizzi sconosciuti.
2. Master password del password manager
Se usi un vault, quella password non deve esistere altrove. In dubbio, cambiala subito.
3. Banca e wallet
Conti, PayPal, carte, crypto: nuova password + verifica movimenti recenti.
4. Google / Apple / Microsoft e social principali
Backup, dispositivi e profili usati per impersonarti.
5. Password uniche ovunque
La difesa strutturale allo stuffing è eliminare il riuso. Un password manager genera e compila stringhe diverse per ogni sito: un breach resta isolato. Non serve ricordarle: serve la master password (o biometria sul vault) e la disciplina di non «tanto uso quella di sempre» sul prossimo sito.
Checklist operativa post-breach (2FA, passkey, ordine account): dopo un data breach.
Se hai appena scoperto il dump e non sai se le mail di «allarme» successive siano vere, non cliccare: false notifiche breach.
💡 Consiglio pratico — 2FA
Anche con password unica rubata su quel sito, un codice TOTP (o passkey) blocca molti login automatizzati altrove. Attivala almeno su email, finanza e social. Preferisci app authenticator alle SMS quando puoi (SIM swapping).
Errori da non fare
- Cambiare solo sul sito del breach — se era condivisa, cambia ovunque, partendo dall’email.
- Sostituire con un’altra password riusata — «fortissima» ma uguale su dieci siti = stesso rischio al prossimo dump.
- Fidarsi solo degli SMS per la 2FA — meglio di niente; meglio ancora TOTP/passkey.
Domande Frequenti (FAQ)
Cos’è il credential stuffing?
Attacco automatizzato: liste email:password da un breach vengono provate in massa sui login di altri siti.
Perché il riuso è peggio del breach originale?
Trasforma la violazione di un servizio minore nell’accesso a account critici, senza doverne superare le difese.
Basta cambiare la password solo sul sito segnalato da HIBP?
No, se l’hai usata altrove. Il sito del dump è la fonte; il pericolo si sposta sugli altri account.
Le varianti mi proteggono?
Quasi mai. Numeri e ! in coda sono prevedibili per gli script basati su regole.
Come mi difendo in modo stabile?
Password uniche (password manager) + 2FA sugli account vitali.
Stuffing vs phishing?
Phishing: ti spingono a digitare su un sito falso. Stuffing: hanno già credenziali vere da un breach e le testano sui siti legittimi. Vedi anche false mail di breach.
Con password uniche serve ancora la 2FA?
Sì. Le uniche isolano i breach passati; la 2FA aiuta contro phishing e sessioni rubate in tempo reale.
