Cos'è un attacco di forza bruta? Come funziona e come fermarlo (2026)

Un attacco di forza bruta è il metodo di hacking più elementare che esista — e ancora uno dei più comuni, perché continua a funzionare contro le password deboli. Nessun exploit e nessun inganno: solo un computer che indovina password, molto in fretta, finché una combacia. Questa guida spiega come funzionano gli attacchi di forza bruta, i tipi principali, perché riescono ancora e le difese che li fermano davvero.

La definizione breve

Un attacco di forza bruta cerca di indovinare una password (o una chiave) tentando sistematicamente enormi quantità di combinazioni finché trova quella giusta. Gli aggressori lo automatizzano, così un programma può fare migliaia o milioni di tentativi molto più velocemente di qualsiasi essere umano. Non sfrutta un difetto del software — sfrutta password deboli e sistemi di accesso che lasciano un aggressore continuare a indovinare.

Come funziona

L'aggressore punta un software su una pagina di accesso o su un file rubato di password mescolate (con hash) e lo lascia macinare candidati. La forza della password bersaglio decide tutto: ogni carattere in più moltiplica il numero di possibilità, quindi il tempo di indovinare cresce in modo esplosivo con la lunghezza. Una password corta o comune può cadere quasi all'istante; una lunga e casuale può richiedere più tentativi di quanti siano realisticamente raggiungibili.

I tipi principali

«Forza bruta» è in realtà una famiglia di tecniche correlate:

• Forza bruta semplice — provare ogni combinazione di caratteri possibile, dalla più corta in su. Accurata ma lenta contro password lunghe.
• Attacco a dizionario — provare prima un elenco preparato di password probabili (parole comuni, nomi, password trapelate, schemi prevedibili), perché la maggior parte delle password deboli proviene da un insieme piccolo.
• Credential stuffing — riutilizzare coppie reali di nome utente e password trapelate da altre violazioni, scommettendo che le persone le riutilizzino. Rapido ed efficace contro il riutilizzo delle password.
• Password spraying — provare alcune password molto comuni contro molti account, per passare sotto i limiti di blocco che scattano in caso di ripetuti fallimenti su un singolo account.

Perché la forza bruta funziona ancora

Se è così grezza, perché persiste? Perché l'anello debole è raramente la matematica — sono le abitudini umane e i sistemi lassisti:

• Le password corte o comuni cadono a un attacco a dizionario in un attimo.
• Le password riutilizzate fanno sì che una sola violazione consegni agli aggressori una chiave funzionante per i tuoi altri account.
• Gli endpoint di accesso senza limitazione di frequenza o blocchi lasciano un aggressore indovinare all'infinito.

La forza bruta non batte password forti e uniche — raccoglie quelle deboli e riutilizzate.

Cosa rende una password resistente alla forza bruta

Due proprietà: lunghezza e casualità. Insieme creano alta entropia — così tante combinazioni possibili che indovinare diventa computazionalmente impraticabile. Una password lunga e generata in modo casuale non è «impossibile» da forzare in teoria; richiede semplicemente un tempo così astronomicamente lungo che nessun aggressore si dà la pena. La prevedibilità è il nemico: una password lunga costruita da una citazione o da uno schema è molto più debole di quanto la sua lunghezza suggerisca.

Come difenderti

Le difese sono semplici e si sommano:

• Usa password lunghe e uniche. Il modo pratico è un gestore di password che genera e conserva una password casuale per ogni account — niente di corto, indovinabile o riutilizzato. Questa singola abitudine sconfigge attacchi a dizionario e credential stuffing in un colpo solo.
• Attiva l'autenticazione a due fattori. Persino una password indovinata correttamente fallisce senza il secondo fattore. Preferisci un'app di autenticazione o una passkey agli SMS.
• Non riutilizzare mai le password. Il riutilizzo è ciò che trasforma la violazione di un sito in una chiave maestra per il resto dei tuoi account.

Sul lato del servizio, la limitazione di frequenza, i blocchi degli account e l'archiviazione delle password correttamente con hash e salate smussano ulteriormente questi attacchi — ma come utente, è lunghezza + unicità + 2FA a rendere il forzare i tuoi account non degno del tentativo.

Il verdetto

Un attacco di forza bruta è un semplice indovinare automatizzato — e resta efficace solo perché le password deboli e riutilizzate continuano ad alimentarlo. Rendi ogni password lunga, casuale e unica (un gestore di password lo fa per te), aggiungi l'autenticazione a due fattori, e la matematica oscilla decisamente a tuo favore: indovinare la tua password diventa un lavoro che nessun aggressore può realisticamente portare a termine.