Cos'è il credential stuffing e perché colpisce le PMI italiane
Il credential stuffing è un attacco automatizzato che inietta in modo massivo username e password rubate in data breach precedenti per tentare accessi non autorizzati su altri servizi. La premessa è semplice ma devastante: la maggior parte delle persone riusa le stesse credenziali su più piattaforme.
Il ciclo è continuo: avviene un data breach (es. un e-commerce viene violato e le sue credenziali vengono rubate) → le credenziali finiscono nel dark web → gli attaccanti le acquistano per pochi dollari → le usano in attacchi automatizzati contro email aziendali, VPN, portali gestionali → se la password coincide, l'accesso è riuscito.
Il CERT-AGID ha rilevato un aumento del 45% degli attacchi di credential stuffing nel primo semestre 2026 rispetto allo stesso periodo dell'anno precedente, con target prevalenti nei settori bancario, e-commerce, pubblica amministrazione e — sempre più — nelle PMI italiane attraverso i portali di accesso remoto e le webmail aziendali.
Secondo un'analisi di FrameSec su dati OSINT del primo semestre 2026, oltre 2,3 milioni di credenziali con dominio email italiano (@azienda.it) sono circolate in dump pubblici nel dark web. Il 71% risultava associata a indirizzi email aziendali attivi, molti dei quali usati anche per accedere a VPN e Microsoft 365 aziendali.
I data breach italiani del 2025-2026
I data breach che alimentano gli attacchi di credential stuffing provengono da due fonti: violazioni di piattaforme internazionali (dove gli utenti italiani hanno account) e violazioni dirette di aziende e portali italiani.
Breach di piattaforme internazionali con utenti italiani
Ogni grande violazione di una piattaforma globale — LinkedIn, Ticketmaster, Discord, Trello — contiene milioni di account italiani. Questi database, anche se vecchi di anni, continuano a circolare e vengono usati perché le password raramente cambiano. Strumenti come Have I Been Pwned permettono di verificare se un indirizzo email è apparso in database violati noti.
Breach di aziende e portali italiani
Nel 2025-2026 diversi portali italiani — e-commerce, concessionari auto, studi medici, portali regionali — hanno subito violazioni con esfiltrazione di dati utente. In molti casi le credenziali erano memorizzate in chiaro o con hash MD5 banalmente reversibile. Queste violazioni locali sono particolarmente pericolose perché le credenziali rubate appartengono spesso a dipendenti di aziende italiane che usano le stesse password anche per gli accessi aziendali.
La principale fonte di credential stuffing contro le PMI italiane non sono sempre i grandi breach internazionali: spesso è la violazione del portale del commercialista, del gestionale condiviso con fornitori, o di una vecchia app web aziendale mai dismessa. Ogni servizio che conserva credenziali è un potenziale punto di perdita.
Il mercato delle credenziali nel dark web
Comprendere come funziona il mercato criminale delle credenziali aiuta a calibrare il rischio. Attualmente nel dark web circolano principalmente tre tipologie di materiale:
- Combo list — enormi database con miliardi di coppie email:password da breach storici, vendute per pochi dollari o distribuite gratuitamente per aumentare la reputazione dell'attore
- Stealer logs — credenziali estratte in tempo reale da computer infettati da info-stealer (malware che cattura le credenziali salvate nel browser). Queste sono le più pericolose perché fresche e spesso non ancora nei database pubblici
- Credential access as a service — accessi già validati a specifici sistemi (account Microsoft 365, accessi VPN aziendali) venduti a prezzo premium a chi vuole entrare direttamente senza eseguire il credential stuffing
Il monitoraggio sistematico del dark web — come quello incluso nel servizio di Cyber Threat Intelligence FrameSec — permette di rilevare in tempo reale quando credenziali aziendali appaiono in questi mercati, consentendo di agire prima che vengano sfruttate.
Come gli attaccanti usano le credenziali rubate
Una volta acquisite le credenziali, il processo di sfruttamento è largamente automatizzato:
- Validazione — strumenti automatici testano le credenziali su decine di servizi in parallelo (Microsoft 365, Google Workspace, VPN aziendali, portali di e-commerce) usando proxy per evadere i rate limit
- Creazione di accesso persistente — se l'accesso riesce, vengono creati account aggiuntivi, regole di inoltro email o token di sessione persistenti per garantire il mantenimento dell'accesso anche dopo il cambio password
- Business Email Compromise (BEC) — l'accesso alla casella email aziendale consente di intercettare comunicazioni, ridirezionare pagamenti, impersonare il CEO verso fornitori o clienti
- Pivot verso sistemi interni — credenziali valide per la VPN o per Microsoft 365 permettono di accedere alla rete interna e procedere con lateral movement verso sistemi più critici
Come evidenziato nell'analisi degli errori di sicurezza più comuni nelle PMI italiane, il riuso delle password aziendali per servizi personali rimane il problema sottovalutato con impatto maggiore.
Come difendersi dal credential stuffing
La buona notizia è che il credential stuffing è una delle minacce più facili da neutralizzare con le misure giuste. In ordine di priorità:
- MFA su tutti i servizi critici — il servizio Identity & MFA di FrameSec implementa l'autenticazione multi-fattore su Microsoft 365, VPN, Active Directory e tutti i portali aziendali. L'MFA rende inutile una password rubata: senza il secondo fattore l'accesso è impossibile
- Dark web monitoring continuativo — la Cyber Threat Intelligence monitora i mercati criminali e avvisa in tempo reale quando email o credenziali aziendali compaiono in dump o stealer logs, permettendo di agire prima dell'attacco
- Password policy forte — password minimo 14 caratteri, nessun riuso tra servizi, cambio obbligatorio dopo segnalazione in breach. Un password manager aziendale (Bitwarden, 1Password Business) facilita enormemente l'adozione
- Protezione della webmail e del portale di accesso — rate limiting sulle login, CAPTCHA dopo tentativi falliti, blocco IP da geografie sospette, alerting su accessi da nuovi dispositivi o posizioni geografiche insolite
- Formazione del personale — la sicurezza email aziendale include la formazione su come riconoscere le email di phishing che rubano credenziali e perché non usare la stessa password ovunque
Iscriviti gratuitamente alle notifiche di Have I Been Pwned per tutti i domini aziendali. Riceverai un avviso ogni volta che email del tuo dominio compaiono in un database violato pubblicamente noto. È il livello minimo di dark web monitoring che qualsiasi PMI dovrebbe avere attivo.
Domande frequenti
Cos'è il credential stuffing e come colpisce le aziende italiane?
È un attacco automatizzato che usa credenziali rubate in data breach per tentare accessi su altri servizi. Funziona perché il 65% degli utenti riusa le stesse password. In Italia nel 2026 questi attacchi sono cresciuti del 45%, colpendo soprattutto accessi VPN, webmail e portali gestionali aziendali.
Come capisco se le credenziali della mia azienda sono nel dark web?
Tramite un servizio di dark web monitoring che scansiona continuamente i mercati criminali e i dump di credenziali. La Cyber Threat Intelligence di FrameSec include questo monitoraggio e avvisa in tempo reale quando credenziali aziendali vengono rilevate nei circuiti criminali.
Il solo MFA protegge dal credential stuffing?
L'MFA neutralizza il 99,9% degli attacchi di credential stuffing. Va però combinato con dark web monitoring (per sapere quando le credenziali sono esposte) e formazione del personale (per prevenire che i dipendenti cedano il codice MFA via social engineering).