# Non farti ingannare: gli hacker non sono geni, sfruttano solo la tua pigrizia

URL: https://menteinformatica.it/sicurezza-privacy/proteggersi-hacker/
Autore: Giorgio Perillo
Aggiornato: 2026-10-02
Categoria: Sicurezza e Privacy

---

**Se pensi che per hackerare un account ci voglia un genio in felpa nera con tre schermi e codice che scorre sullo sfondo, puoi stare tranquillo: non funziona così. La quasi totalità degli attacchi informatici che colpiscono persone normali sfrutta tre cose banali: password riusate, nessun secondo fattore di autenticazione e un momento di disattenzione davanti a un messaggio sospetto. Niente di cinematografico. E soprattutto, niente che non si possa risolvere in meno di 30 minuti. Aggiornato a maggio 2026.**

## Il piano d’azione: cosa fare nei prossimi 30 minuti

Prima di leggere il resto, ecco i 5 passi concreti che coprono l’80% del rischio. Puoi farli subito, in ordine, con i link diretti sotto. Il resto dell’articolo spiega il perché — ma se hai poco tempo, parti da qui.

**Passo 1 | Password (10 min):** Scarica [Bitwarden](https://bitwarden.com/download/) (gratis), crea un account, installa l’estensione browser. Cambia subito la password dell’email principale con una generata da Bitwarden (lunga, casuale, unica). Poi controlla se la tua email è finita in qualche data breach su [Have I Been Pwned](https://haveibeenpwned.com): se compare, cambia le password di quei servizi.

**Passo 2 | 2FA su Gmail (5 min):** Vai su [myaccount.google.com/security](https://myaccount.google.com/security), attiva “Verifica in due passaggi”. Scarica [Google Authenticator per Android](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2) o [per iPhone](https://apps.apple.com/app/google-authenticator/id388497605). Salva i codici di backup in un posto sicuro (non sullo stesso telefono).

**Passo 3 | 2FA su Instagram e social (5 min):** Su Instagram vai in Impostazioni → Centro gestione account → Password e sicurezza → [Autenticazione a due fattori](https://www.instagram.com/accounts/privacy_and_security/). Stessa cosa per ogni social su cui usi lo stesso account email.

**Passo 4 | Scansione malware (5 min):** Scarica [Malwarebytes Free](https://www.malwarebytes.com/mwb-download), esegui una scansione rapida. Fatto — puoi tenerlo installato per scansioni future senza che giri in background.

**Passo 5 | Aggiornamenti (2 min):** Su Windows: Start → Impostazioni → Windows Update → “Attiva aggiornamenti automatici”. Su Mac: Preferenze di Sistema → Aggiornamento Software → spunta “Mantieni il Mac aggiornato automaticamente”.

## Come funzionano davvero gli attacchi (e perché il 90% è automatico)

Per proteggerti in modo efficace, devi prima capire cosa stai affrontando. La maggior parte degli attacchi contro utenti normali non sono operazioni di hacking pianificate: sono automatizzati. Uno script prova milioni di combinazioni email/password in pochi secondi, attingendo ai **data breach** che escono ogni anno da siti mal protetti.

Se usi la stessa password di Gmail anche su Trenitalia, e Trenitalia viene violata, in pochi minuti qualcuno ha accesso a Gmail. Questo si chiama **credential stuffing**, ed è la causa più comune degli account compromessi. Statistica pura, non magia.

La buona notizia: queste vulnerabilità sono esattamente quelle più facili da correggere. Non servono competenze tecniche, solo un po’ di metodo e la voglia di farlo una volta sola.

## Le password: come risolverlo una volta e non pensarci più

La regola teorica la conoscono tutti: password unica, lunga, con caratteri speciali, diversa per ogni sito. Il problema è che nessuna persona normale può ricordarsi 80 password diverse. Quella che sembra pigrizia è in realtà fisiologia: il cervello umano non è progettato per ricordare decine di stringhe casuali. E le soluzioni casalinghe (aggiungere un numero al nome del gatto, variare con maiuscole) sono esattamente quelle che i software di cracking conoscono meglio.

La soluzione è usare un **password manager**: un’app che genera e ricorda password casuali per ogni sito, e tu devi ricordarne solo una (quella del manager). Il migliore gratuito è **Bitwarden**: open source, verificato da audit indipendenti, disponibile su Windows, Mac, iOS, Android e come estensione per tutti i principali browser. [Scaricalo qui](https://bitwarden.com/download/). Io lo uso da tre anni e la transizione iniziale ha richiesto un pomeriggio.

Prima ancora di cambiare le password, vai su [Have I Been Pwned](https://haveibeenpwned.com) e inserisci la tua email: il sito del ricercatore Troy Hunt ti dice in quanti database di dati rubati compare. Se compare, cambia subito le password dei servizi coinvolti, partendo dai più sensibili.

**Attenzione:** il cambio periodico obbligatorio delle password è una pratica superata. Non serve cambiarle ogni tre mesi se sono già forti e uniche. Cambia solo quando c’è una violazione confermata del servizio che usi.

## L’autenticazione a due fattori: la difesa che ferma il 99% degli attacchi automatici

Anche se qualcuno ottiene la tua password, con il **2FA** (autenticazione a due fattori) attivo non può entrare nel tuo account senza avere fisicamente il tuo telefono. È il singolo intervento più efficace che puoi fare sulla tua sicurezza digitale.

Come funziona: dopo la password, il servizio ti chiede un codice temporaneo a 6 cifre che cambia ogni 30 secondi, generato da un’app authenticator sul tuo smartphone. La più diffusa è **Google Authenticator** — [Android](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2) | [iPhone](https://apps.apple.com/app/google-authenticator/id388497605). Chi usa Android può valutare Aegis, open source e con backup cifrato dei codici.

Dove attivarlo subito, con link diretti alle impostazioni:

**Link rapidi per attivare il 2FA:**

- [Gmail / Google Account](https://myaccount.google.com/security) → Sicurezza → Verifica in due passaggi

- [Instagram](https://www.instagram.com/accounts/privacy_and_security/) → Centro gestione account → Password e sicurezza → Autenticazione a due fattori

- [Facebook](https://www.facebook.com/settings?tab=security) → Impostazioni → Sicurezza e accesso → Autenticazione a due fattori

- **Conto bancario online**: cerca “autenticazione a due fattori” nelle impostazioni del tuo internet banking. La maggior parte delle banche italiane lo supporta già.

Priorità: Gmail prima di tutto — da quella si recupera l’accesso a quasi tutto il resto.

Su Gmail ho attivato il 2FA anni fa. Ho perso il telefono una volta e ho avuto qualche minuto di panico, ma avevo i codici di backup salvati e il recupero è stato rapido. Il sistema funziona.

Un avvertimento importante: evita il 2FA via SMS quando hai alternative. I codici SMS sono vulnerabili al SIM swapping, ovvero quando qualcuno convince il tuo operatore (TIM, Vodafone, WindTre, Iliad) a trasferire il tuo numero su una SIM diversa. Succede, e non è difficile quanto sembra. Usa sempre un’app authenticator quando il servizio lo permette.

## Come riconoscere il phishing: il vettore d’attacco che funziona ancora troppo bene

Il **phishing** è quando qualcuno ti manda un messaggio spacciandosi per qualcun altro (la tua banca, Amazon, il corriere, l’Agenzia delle Entrate) per farti cliccare su un link e inserire le tue credenziali su un sito fasullo. Le email da Poste Italiane sono le più frequenti che mi capitano: almeno due a settimana, sempre con la stessa struttura urgente. “Il tuo conto è stato temporaneamente sospeso.” Basta guardare l’indirizzo del mittente per capire che non c’è mai niente di vero.

I segnali da imparare: il mittente usa un dominio strano o leggermente diverso dall’originale (es. “poste-italiane.com” invece di “poste.it”), il messaggio crea urgenza artificiale, il link porta a un URL diverso da quello ufficiale (puoi verificarlo passando il cursore sopra senza cliccare). Attenzione: con l’AI le email di phishing sono diventate grammaticalmente perfette. Non ci si può più fidare degli errori di ortografia come segnale.

Il **smishing** è la versione via SMS, sempre più diffusa in Italia: finti avvisi da BRT, SDA, o da operatori telefonici. La regola in entrambi i casi: se ricevi un messaggio urgente che ti chiede di cliccare qualcosa, non farlo. Apri il browser, digita l’URL del servizio a mano e controlla direttamente. Se pensi di aver ricevuto un tentativo di phishing contro un’istituzione italiana, puoi segnalarlo al [CERT-AGID](https://www.cert-agid.gov.it/segnalazioni/) (l’autorità italiana per la sicurezza informatica nelle PA). Per un approfondimento su come un malware può sfruttare la fiducia dei contatti, leggi il [caso TCLBanker](https://menteinformatica.it/sicurezza-privacy/tclbanker-malware-whatsapp-outlook-banche/), che si diffondeva da solo via WhatsApp e Outlook.

Un caso recente che illustra il rischio anche sui canali apparentemente sicuri: il [sito ufficiale di JDownloader è stato compromesso](https://menteinformatica.it/sicurezza-privacy/jdownloader-hackerato-installer-malware/) nel maggio 2026 e gli installer scaricati in quei giorni contenevano un trojan. Controllare l’URL del sito da cui scarichi non è paranoia. È igiene digitale.

**Lo sapevi?** Le email di phishing migliori non contengono link sospetti: ti invitano a richiamare un numero di telefono. Al telefono, una persona vera ti chiede le credenziali fingendosi il supporto della tua banca. Questo si chiama vishing ed è molto più difficile da riconoscere perché il canale (telefono) sembra legittimo.

## Wi-Fi pubblico: i rischi reali (non quelli dei film)

Connettersi al Wi-Fi di un bar o di un aeroporto non è automaticamente pericoloso. Grazie all’adozione quasi universale di HTTPS, la maggior parte del traffico web è cifrata, e un attaccante sulla stessa rete non può semplicemente “leggere” quello che stai facendo intercettando i pacchetti.

Il rischio concreto e spesso sottovalutato è il **rogue access point**: qualcuno crea una rete Wi-Fi con nome convincente (“Starbucks_Free_WiFi_2”, “Hotel_Lobby_Guest”) e tu ti connetti credendo sia quella ufficiale. A quel punto tutto il traffico transita attraverso il suo dispositivo, incluse le sessioni già aperte e qualsiasi richiesta non cifrata.

La soluzione più robusta è usare una **VPN** sulle reti pubbliche. Una VPN crea un tunnel cifrato tra il tuo dispositivo e un server intermedio, rendendo il traffico illeggibile anche per chi controlla la rete. [Proton VPN Free](https://protonvpn.com/download) è l’unica VPN gratuita seria: nessun limite di traffico, no-log policy verificata da audit indipendenti. Ideale per chi usa reti pubbliche solo in viaggio.

Se preferisci evitare la VPN, la regola alternativa è semplice: su reti pubbliche non accedere al conto bancario o ai servizi sensibili. Aspetta di essere su una rete fidata.

## Aggiornamenti software: il consiglio noioso che però funziona

La maggior parte degli attacchi che vanno a segno sfrutta falle già note e già corrette, colpendo chi non ha installato l’aggiornamento. Le **vulnerabilità zero-day** (quelle scoperte prima che esista una patch) esistono, ma sono raramente usate contro utenti normali perché costano molto. Come dimostra la vulnerabilità MiniPlasma scoperta su Windows 11 nel 2026, le falle zero-day esistono anche su sistemi aggiornati. Ma non aspettare che le trovino per occuparti delle patch che esistono già.

WannaCry, il ransomware che nel 2017 paralizzò ospedali e aziende in tutto il mondo, sfruttava una vulnerabilità di Windows per la quale Microsoft aveva rilasciato una **patch** due mesi prima. I sistemi colpiti non erano stati aggiornati. Fine della storia.

Abilita gli aggiornamenti automatici su tutti i tuoi dispositivi: Windows, macOS, iOS, Android. Per le app, stesso principio. È la cosa più noiosa che puoi fare per la tua sicurezza. È anche una delle più efficaci.

## Antivirus: quello che hai già sul PC potrebbe bastare

Se usi Windows, hai già un antivirus attivo: si chiama **Windows Defender** (o Microsoft Defender Antivirus), è integrato nel sistema operativo e nei test indipendenti di AV-TEST ottiene risultati paragonabili ai prodotti a pagamento. Per la maggior parte degli utenti, Defender è sufficiente. Non devi comprare nulla. ⚠️ da verificare con test AV-TEST 2026 prima di pubblicare

Se vuoi uno strato aggiuntivo, **Malwarebytes Free** è ottimo per scansioni occasionali: lo apri quando hai un sospetto, esegui la scansione, chiudi. Non gira in background e non rallenta il sistema. [Scaricalo qui](https://www.malwarebytes.com/mwb-download) (versione Free, senza bisogno della prova Premium). Su Mac, macOS include XProtect e Gatekeeper, ma Malwarebytes ha una versione specifica per Apple che vale la pena avere, soprattutto dopo che i [malware veicolati via Google Ads su Mac](https://menteinformatica.it/sicurezza-privacy/malware-mac-google-ads-claude-ai/) sono diventati più frequenti.

**PRO TIP:** dopo ogni installazione di software da fonti non verificate, esegui una scansione rapida con Malwarebytes Free prima di usare il PC normalmente. Ci vogliono meno di 5 minuti e si rivela utile più spesso di quanto si pensi.

## Backup: l’unico vero antidoto al ransomware

Il **ransomware** è un malware che cifra tutti i file del tuo computer e ti chiede un riscatto per riaverli. Non esiste antivirus che garantisca protezione al 100% da tutte le varianti. L’unica vera difesa è avere una copia dei dati in un posto che il ransomware non può raggiungere.

La strategia standard è la **regola 3-2-1**: tre copie dei dati, su due supporti diversi, di cui uno offline. In pratica: file sul PC, sincronizzazione automatica su cloud (Google Drive, iCloud o OneDrive — tutti e tre hanno un piano gratuito che copre i documenti principali), copia periodica su un disco esterno da tenere staccato.

Il punto critico è tenere il disco staccato. Se il disco esterno è sempre collegato al PC, il ransomware lo cifra esattamente come fa con tutti gli altri file. Farlo richiede un secondo. È semplicemente come funziona il software.

## Checklist sicurezza: salvala o stampala

Tieni questa lista come riferimento. Ogni voce con la spunta è un rischio coperto.

**Checklist sicurezza digitale di base**

- ☐ Password manager installato ([Bitwarden Free](https://bitwarden.com/download/))

- ☐ Ogni account ha una password unica e forte

- ☐ Email controllata su [Have I Been Pwned](https://haveibeenpwned.com)

- ☐ 2FA attivo su Gmail ([impostazioni](https://myaccount.google.com/security))

- ☐ 2FA attivo su account social e banca

- ☐ App authenticator installata ([Android](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2) / [iPhone](https://apps.apple.com/app/google-authenticator/id388497605))

- ☐ Codici di backup 2FA salvati offline

- ☐ Aggiornamenti automatici attivi su tutti i dispositivi

- ☐ Scansione malware eseguita ([Malwarebytes Free](https://www.malwarebytes.com/mwb-download))

- ☐ Backup su cloud + disco esterno staccato

- ☐ VPN installata per reti pubbliche ([Proton VPN Free](https://protonvpn.com/download))

## Domande frequenti

### Devo cambiare le password ogni tre mesi?

No. Il cambio periodico obbligatorio è una pratica superata che porta le persone a scegliere password deboli e prevedibili (“Password2024” diventa “Password2025”). Usa password forti e uniche, e cambia solo se c’è una violazione confermata del servizio che usi.

### Il mio account è stato violato. Cosa faccio subito?

Prima cosa: recupera l’accesso tramite la procedura di recupero ufficiale (email di backup, numero di telefono). Poi cambia la password, attiva il 2FA se non l’hai ancora, e controlla le sessioni attive per disconnettere i dispositivi non autorizzati. Se è l’email principale, tratta la situazione come un’emergenza: da quella si recupera l’accesso a tutto il resto.

### Le VPN gratuite sono sicure?

Dipende da quale. Le VPN gratuite devono monetizzare in qualche modo, e in alcuni casi quel “qualche modo” è la vendita dei dati di navigazione degli utenti. L’eccezione più affidabile è Proton VPN Free: no-log policy verificata da audit indipendenti, nessun limite di traffico, velocità ridotta rispetto al piano a pagamento ma accettabile per navigazione normale.

### Quanto è sicuro il Wi-Fi di casa?

Se hai una password WPA2 o WPA3 robusta e il firmware del router aggiornato, il Wi-Fi di casa è ragionevolmente sicuro. La prima cosa da fare con qualsiasi router nuovo è [cambiare le credenziali di amministrazione di default](https://menteinformatica.it/sicurezza-privacy/proteggere-wifi/): quasi tutti i router escono dalla fabbrica con “admin/admin” o simili, e chiunque si connetta alla rete potrebbe modificare le impostazioni.

### Come faccio a sapere se ho già un malware sul PC?

I segnali classici sono rallentamenti improvvisi senza motivo, popup anomali, spazio su disco che sparisce, ventola sempre al massimo quando il PC è in idle, o attività di rete insolita. Se sospetti qualcosa, esegui una scansione con [Malwarebytes Free](https://www.malwarebytes.com/mwb-download). Se il sistema è troppo compromesso per funzionare normalmente, il modo più sicuro è reinstallare il sistema operativo da zero.