Come possono rubarci password e PIN

Tempo di lettura 3 minuti

Pubblicato il 05/11/2026

In Italia bonifici e carte sono sicuri contro i criminali informatici - i pagamenti digitali non autorizzati sono lo 0,01 per cento del totale - ma dobbiamo sempre essere vigili per proteggere le credenziali con cui li usiamo. Nome utente, password, PIN, OTP… sono le chiavi elettroniche per il nostro denaro, e i cybercriminali possono tentare di sfilarcele in più modi.

I metodi

Truffa. I criminali ci inducono a rivelare le credenziali con un raggiro. Per riuscirci usano stratagemmi come e-mail, messaggi e telefonate ingannevoli (phishing e varianti) magari spacciandosi per qualcuno di cui ci fidiamo (spoofing), come ad esempio la nostra banca. Possono anche creare audio e video falsi di persone reali con l'intelligenza artificiale. Esempi di raggiro sono la truffa dell'emergenza familiare, la truffa sentimentale e la truffa sulle case vacanza.

Ricerca di informazioni. I criminali accedono sul web a informazioni personali su di noi (data di nascita, nomi di familiari, cantante preferito…), ad esempio sui social, e le usano per indovinare le nostre credenziali.

Meccanismi automatici. I criminali fanno numerosi tentativi, provando a inserire in automatico ogni parola di senso compiuto (attacchi a dizionario) o combinazione di caratteri (attacchi a forza bruta). Possono anche tentare con password comuni per accedere a un gran numero di account, una variante dell'attacco a forza bruta chiamata "spruzzatura delle password". Un attacco a dizionario o a forza bruta prima o poi ha successo se la password o il PIN sono deboli.

Osservazione o intercettazione. I criminali scoprono le credenziali osservando la vittima digitarle, o le intercettano manomettendo (skimming) ATM, i cosiddetti sportelli Bancomat, e POS, i terminali elettronici usati nei negozi per i pagamenti, o compromettendo siti di commercio online (e-skimming).

Acquisto online. I criminali comprano sul web archivi di credenziali o dati di carte di pagamento rubati. L'acquisto avviene nel mercato nero del dark web, a cui non si può accedere con i normali programmi per navigare (browser) e motori di ricerca.

Come difenderti

Per proteggere le tue credenziali dai criminali informatici occorre agire con prudenza. Innanzitutto:

• mai, mai comunicare ad altri le credenziali. Diffida di chiunque ti chieda di comunicargli password, PIN o altri codici, anche se si presenta come qualcuno di cui ti puoi fidare. La tua banca, la Polizia, la società del gas o dell'elettricità, nessuno ti chiederà mai quelle informazioni! La richiesta sembra provenire da un numero di telefono o da un indirizzo e-mail legittimi? Ricorda che i truffatori possono fare anche questo. Per fugare ogni dubbio, puoi contattare il presunto mittente (ad esempio la società del gas) usando il numero di telefono o l'indirizzo e-mail presenti sul suo sito ufficiale;
• usa password robuste, cioè molto difficili da indovinare. Una password è robusta se ha almeno 15 caratteri, contiene lettere maiuscole e minuscole, numeri e segni di punteggiatura, è priva di informazioni personali (se è una frase) e non è usata per nient'altro. Tenerle tutte a mente è difficile? Puoi usare un password manager;
• tieni aggiornati il sistema operativo e l'antivirus sui tuoi dispositivi, così ti proteggeranno anche dalle minacce informatiche più recenti;
• installa solo software e app attendibili e scaricali solo dagli store ufficiali. Non installare mai programmi da link presenti in e-mail o messaggi sospetti;
• abilita l'autenticazione a due fattori (SCA). È il sistema di identificazione per cui ti vengono richieste due "prove" della tua identità, anziché una sola, scelte fra una cosa che sai (come una password o un PIN), una che hai (come il cellulare) e una che ti caratterizza (come l’impronta digitale);
• non conservare il PIN della carta insieme alla carta.

Per scoprire senza ritardo eventuali pagamenti non autorizzati da te, attiva gli avvisi di pagamento e controlla periodicamente i pagamenti fatti.