Perché le aziende hanno ancora bisogno di un password manager nel 2026 e oltre

Cosa mostrano i dati del 2026

Il Verizon 2026 Data Breach Investigations Report segna una svolta. Basato su oltre 31'000 incidenti di sicurezza, tra cui più di 22'000 violazioni di dati confermate in 145 Paesi, rileva che lo sfruttamento di vulnerabilità software è stato il punto d’ingresso iniziale nel 31% delle violazioni. L’abuso di credenziali, a lungo al primo posto, si attesta ora al 13%, anche se Verizon precisa che parte di questo calo dipende da un cambiamento nel metodo di conteggio. Il pretexting viene ora registrato separatamente e, secondo il metodo dell’anno precedente, l’abuso di credenziali sarebbe stato del 16%.

Una volta all’interno, le credenziali restano centrali per gli aggressori. Figuravano tra i dati compromessi nel 28% delle violazioni, e l’uso di credenziali rubate resta l’azione più frequente negli attacchi di base alle applicazioni web. Il consiglio di Verizon è chiaro: le organizzazioni dovrebbero smettere di rimandare l’autenticazione a più fattori, perché le credenziali restano parte integrante degli strumenti degli aggressori.

Il rapporto mostra anche dove le policy sulle password raggiungono i propri limiti. La maggior parte delle organizzazioni applica bene i requisiti di complessità: in mediana, meno dell’1% degli account Active Directory non li rispetta. Eppure, in mediana, il 4% degli account utilizza password già esposte in violazioni di dati, il che rende l’uso di una password compromessa più di quattro volte più probabile di quello di una password debole. Circa il 6% riutilizza le password o condivide la stessa password con altri. Una policy rigida non può impedire queste abitudini, mentre un password manager che genera una password unica per ogni account può farlo.

Perché il rischio legato alle credenziali cresce in nuovi ambiti

Due tendenze del rapporto meritano l’attenzione di qualsiasi organizzazione che pianifica la propria sicurezza per il 2026 e il 2027. La prima riguarda i fornitori. Una terza parte era coinvolta nel 48% delle violazioni, rispetto al 30% dell’anno precedente, e quando presso terze parti sono state riscontrate password deboli e autorizzazioni configurate in modo errato, ci sono voluti quasi otto mesi per risolverne la metà. Ogni login condiviso con un’agenzia, un collaboratore esterno o un fornitore IT è una credenziale che va gestita e revocata per tempo.

La seconda è la diffusione di strumenti di IA non autorizzati. Secondo il rapporto, il 67% degli utenti che accedevano a servizi di IA da dispositivi aziendali lo faceva con account non aziendali. Ciascuno di questi account sfugge al controllo dell’azienda ed è spesso protetto da una password personale che potrebbe essere utilizzata anche altrove.

Il fattore umano lega queste tendenze: era presente nel 62% delle violazioni, rispetto al 60% dell’anno precedente.

Cosa aggiungono i dati europei e svizzeri

L’ENISA Threat Landscape 2026, basato su 8'257 incidenti che hanno colpito l’UE nel 2025, va nella stessa direzione. Il phishing rappresentava il 77,8% delle tecniche di ingegneria sociale osservate dall’ENISA, e il furto di credenziali continuava a basarsi su infostealer che sottraggono password, dati del browser, token MFA e cookie di sessione. L’ENISA segnala inoltre che gli aggressori combinano kit di phishing con strumenti adversary-in-the-middle per aggirare l’autenticazione a più fattori.

Il rapporto semestrale dell’Ufficio federale della cibersicurezza (UFCS) mostra come ciò si traduce in Svizzera. Tra gli incidenti soggetti all’obbligo di segnalazione nel primo semestre 2026, l’accesso non autorizzato è stato il tipo di attacco più frequente, con poco meno del 26%, per lo più account e-mail compromessi tramite phishing, seguito dal furto di credenziali con il 13,5%. L’UFCS descrive un passaggio verso aggressori che accedono con credenziali legittime anziché forzare l’ingresso.

Il suo caso di studio sugli attacchi di sabotaggio contro impianti energetici polacchi nel dicembre 2025 rende il concetto concreto. Gli aggressori sono riusciti a entrare anche perché i punti di accesso remoto non erano protetti dall’autenticazione a più fattori, le stesse password erano riutilizzate su più dispositivi e alcuni dispositivi utilizzavano ancora le password predefinite del produttore. L’UFCS conclude che misure di base, tra cui password robuste e uniche e l’uso sistematico dell’MFA, sarebbero state decisive per prevenire gli attacchi.

Cosa deve offrire un password manager aziendale

Un password manager interviene sul rischio legato alle credenziali nel punto in cui le persone creano, archiviano e condividono i propri login. Nella valutazione delle soluzioni, privilegiate le funzionalità che cambiano le abitudini quotidiane e danno controllo agli amministratori, elencate qui dalla più basilare alla più critica:

• Un generatore di password e avvisi sulle password deboli già al momento della creazione
• La compilazione automatica su browser e dispositivi mobili, per rendere l’opzione sicura anche la più comoda
• Safe condivisi con autorizzazioni basate sui ruoli, affinché ogni team veda solo ciò di cui ha bisogno
• L’importazione delle credenziali dagli strumenti esistenti per semplificare la migrazione
• Single sign-on e provisioning automatico degli utenti, affinché gli accessi terminino quando un collaboratore lascia l’azienda
• L’autenticazione a due fattori per proteggere il safe stesso
• La crittografia zero-knowledge, affinché solo gli utenti autorizzati possano decifrare le credenziali archiviate

Cosa devono verificare i team

Per le organizzazioni del settore bancario, assicurativo e pubblico, un password manager deve inoltre superare un esame approfondito. Quadri normativi come NIS 2 e DORA richiedono un controllo degli accessi documentato e l’autenticazione a più fattori nell’ambito della gestione dei rischi ICT. In Svizzera, l’UFCS sottolinea che, a seconda dei requisiti normativi, le organizzazioni possono aver bisogno di una crittografia indipendente dal fornitore per garantire la riservatezza dei dati ospitati in un’altra giurisdizione.

Due momenti mettono questi controlli particolarmente alla prova. Il primo è l’offboarding, quando gli accessi devono terminare il giorno stesso dell’uscita. Il secondo è un incidente, quando il team di risposta deve sapere a quali account condivisi poteva accedere un utente compromesso e con quale rapidità tale accesso può essere revocato. Entrambe le domande sono difficili quando le credenziali si trovano in un foglio di calcolo su un’unità condivisa, in un profilo del browser o nelle mani dell’unico amministratore che ha configurato un sistema anni fa. I safe condivisi con autorizzazioni basate sui ruoli offrono ai team di sicurezza e compliance una visione chiara di chi può accedere a quali account, insieme a un modo rapido per revocare tale accesso quando serve. Poiché le credenziali condivise si trovano in safe di team anziché in safe personali, restano disponibili ai colleghi anche dopo l’uscita della persona che le ha create.

L’approccio di SecureSafe Pass

SecureSafe Pass si basa sull’architettura zero-knowledge e sulla crittografia AES-256 alla base dell’intera piattaforma SecureSafe, con i dati ospitati in Svizzera.

Per i team, SecureSafe Pass offre Team Safe condivisi con i ruoli Admin, Editor e Viewer, così le credenziali possono essere condivise con le persone giuste e gli accessi revocati all’istante. SecureSafe Pass si integra con Microsoft Entra ID per il single sign-on, e grazie al provisioning automatico l’accesso viene revocato non appena un utente viene rimosso dalla directory. Le password deboli vengono segnalate al momento della creazione, e l’autenticazione a due fattori protegge l’ambiente anche se una password viene compromessa.