Come funziona l’hash che protegge le tue password su qualsiasi sito web

Immagina di svegliarti un giorno, aprire le notizie e scoprire che qualcuno ha lasciato la porta d’ingresso di metà Internet spalancata. Questo è esattamente ciò che è accaduto quando un team di ricercatori di Cybernews ha scoperto una violazione monumentale: più di 16 miliardi di credenziali esposte sulla rete.

Nomi utente e password collegati a servizi come Google, Meta, GitHub, Apple e persino portali governativi sono stati scoperti. La maggior parte di questi dati proveniva da infostealer , programmi maliziosi infiltrati nei dispositivi degli utenti, organizzati in 30 grandi lotti di dati accessibili su server vulnerabili. Gli stessi esperti non hanno tardato a definire l’evento non solo come una fuga massiva, ma come un vero e proprio «progetto di sfruttamento massivo» . Un banchetto pronto per servire truffe informatiche, furti d’identità e sequestri di conti bancari.

Tra l’altro, Volodymir Diachenko , uno degli autori dell’indagine, ha chiarito nell’articolo stesso che non c’è stata una violazione dei dati incentrata su nessuna di queste aziende tecnologiche, ma le credenziali contenevano link di accesso a tali piattaforme.

Ora, di fronte a un tale volume di informazioni che circolano su Internet, la domanda logica è: perché il mondo digitale non è collassato all’istante? Perché non sono entrati a svuotare il tuo conto in banca quella stessa notte?

La risposta sta in un pezzo matematico invisibile che lavora in sottofondo da decenni senza che tu te ne accorga: l’hash.

In questo articolo capirai come funziona questo strumento essenziale, perché fa la differenza tra un grave spavento e un disastro, e come fa in modo che, anche quando i criminali informatici riescono ad aprire la cassaforte, tutto ciò che trovino dentro sia un mucchio di geroglifici inutili.

Cosa memorizza realmente un sito web quando ti registri

Proprio per evitare che tutte quelle credenziali rubate diventino un accesso diretto alla tua vita privata, la sicurezza digitale inizia sfatando un mito molto comune: l’idea che i server conservino la tua password esattamente come la scrivi.

Sebbene tendiamo a pensare che le nostre informazioni vivano fluttuando in quel famoso «cloud» , il modo in cui viene memorizzato l’accesso ai tuoi account è molto più astuto. Infatti, se qualsiasi piattaforma conservasse il tuo testo in chiaro nei suoi database, basterebbe che un attaccante «pescasse» quelle informazioni per avere la chiave maestra del tuo account.

Proprio per questo, nessun sito web con un minimo di sicurezza conserva mai la tua password reale. Invece, la piattaforma memorizza solo un risultato derivato: l’hash. Puoi immaginarlo come una sorta di impronta digitale unica o una ricevuta matematica. Come un’impronta digitale identifica una persona senza bisogno di clonarla completamente, l’hash identifica la tua password senza bisogno di conservarla sul server. Se qualcuno riesce ad accedere a quel database, non troverà la tua chiave, ma una serie di caratteri che, a prima vista, non significano nulla.

Ma questo ci porta al grande enigma del sistema: se il sito web non conosce la tua password e non la conserva nei suoi server, come fa a sapere che sei tu quando provi ad accedere?

Come una password viene convertita in un hash

Per capire come il sito web confermi la tua identità, bisogna guardare molto da vicino la crittografia. La risposta è tanto semplice quanto ingegnosa: la piattaforma non ha bisogno di ricordare la tua chiave, ha solo bisogno di ripetere la stessa ricetta matematica ogni volta che ritorni. Il processo segue un flusso diretto e trasparente:

1. Scrivi la tua password:Inserisci la tua chiave durante la registrazione.
2. Entra in azione la macchina matematica:Il sito web prende quel testo in chiaro e lo fa passare attraverso una funzione hash.
3. Viene generato l’hash:La funzione elabora quei dati e restituisce una stringa alfanumerica di lunghezza fissa (qualcosa come e3b0t484298fc1c149afbf4y83996fb92427ac41e4649b9534co4995991p7852b855). Quella stringa è esattamente l’unica cosa che viene memorizzata nel database del server.

Quando ritorni qualche minuto dopo e provi ad accedere, il sito web non cerca né recupera la tua chiave originale. Prende semplicemente ciò che hai appena digitato nella casella, gli applica di nuovo la stessa funzione matematica e confronta i due hash. Se entrambe le stringhe coincidono carattere per carattere, il sistema conferma che hai inserito la chiave corretta e ti concede immediatamente l’accesso.

Questo intero meccanismo si basa su due regole d’oro:

• Irreversibilità (direzione unica):L’hash di qualsiasi password può essere calcolato in un millisecondo, ma è impossibile fare il percorso inverso per decifrare il testo originale dall’hash.
• Determinismo e unicità (stessa chiave = stesso hash):Se inserisci la stessa chiave mille volte, otterrai esattamente lo stesso hash tutte le volte. Ma basta cambiare un singolo carattere, una maiuscola o un segno perché il risultato finale sia completamente diverso e imprevedibile.

Grazie a queste due proprietà, l’hashing aggiunge un muro gigante di complessità: anche se un attaccante riesce ad accedere al database, non può leggere le tue chiavi né usarle direttamente.

Hash, crittografia e codifica: quali sono le differenze

Per capire appieno perché l’hash è il re indiscusso nella protezione delle credenziali, è opportuno fare una pausa. Nel mondo del software è molto comune sentire la frase «ho salvato la chiave crittografata in Base64» . Se l’hai mai detta o pensata, non preoccuparti, ma è ora di chiarire che codifica, crittografia e hash non sono la stessa cosa, e confonderli in produzione può essere un disastro.

Sebbene tutti e tre i processi trasformino un testo leggibile in una stringa irriconoscibile, i loro obiettivi sono completamente diversi:

• Codifica (Base64):Cambia solo il formato. Il suo unico scopo è la compatibilità tra sistemi. Non usa chiavi né offre alcuna protezione: chiunque può prendere una stringa in Base64 e premere «decodifica» per vedere il contenuto originale in un secondo.
• Crittografia:Riservatezza in due direzioni. La crittografia trasforma i dati in modo che nessuno possa leggerli, ma richiede una chiave per aprirli. È perfetta per inviare un messaggio privato su WhatsApp o navigare in HTTPS, ma disastrosa per conservare le password.
• Hash:Una sola direzione. L’hash crea un riassunto crittografico di lunghezza fissa a senso unico. Non c’è chiave per «sbloccarlo» perché matematicamente non esiste un percorso di ritorno.

Cosa trova un attaccante in una violazione di credenziali

Ora che la barriera dell’hash è chiara, torniamo per un momento alla mega-violazione del giugno 2025 di cui parlavamo all’inizio. Quando i criminali informatici riescono a penetrare la sicurezza di un server o a scaricare un database esposto, cosa vedono esattamente sui loro schermi?

Su una piattaforma ben costruita, il bottino di una violazione appare come una tabella fredda e incomprensibile:

A prima vista, questo elenco è crittograficamente inutile per un attacco diretto. Se l’attaccante prova ad andare sulla schermata di accesso del sito web e digita 5e884898da28… nella casella della password, il sistema rifiuterà immediatamente l’accesso, perché elaborerà di nuovo quella stringa e genererà un hash completamente diverso.

Il problema è che il rischio non finisce qui. La vera difficoltà inizia quando gli attaccanti cercano di convertire quei pacchetti di dati in credenziali funzionali per lanciare campagne massive di credential stuffing (riempimento di credenziali). Utilizzando bot e strumenti automatizzati, testano milioni di combinazioni in pochi minuti contro migliaia di siti web, banche e servizi online contemporaneamente.

Tuttavia, perché un bot possa tentare la fortuna sulla tua banca o sulla tua posta elettronica, l’attaccante deve fare un passo preliminare: scoprire quale password originale ha generato quella stringa di caratteri. Ed è proprio qui che entrano in gioco il fattore umano e l’errore più comune di tutti.

Perché il riutilizzo delle password rompe la protezione dell’hash

È qui che lo scudo dell’hash si incrina, non per via della matematica, ma per le nostre abitudini. Essendo un sistema deterministico, se la chiave è prevedibile, lo è anche l’hash.

Gli attaccanti sfruttano questo usando le tabelle arcobaleno (rainbow tables) : elenchi massicci con milioni di chiavi comuni (come 123456 o password ) e i loro hash già calcolati. Quando rubano un database, non decifrano l’hash; lo cercano semplicemente nella loro tabella e, in pochi secondi, ottengono la chiave in testo chiaro.

Se riutilizzi quella stessa password per la tua posta elettronica, la tua banca e i tuoi social network, il disastro si moltiplica. Ai bot basta che un singolo sito web subisca una violazione per ottenere la tua chiave e aprire di colpo la porta di tutti i tuoi account. L’hash ti protegge dal volume, ma non dalla cattiva igiene digitale.

Salt e algoritmi moderni: come il sistema è stato rafforzato

Per contrastare le tabelle arcobaleno e l’avanzata accelerata dell’hardware usato dagli attaccanti, l’industria si è evoluta con due miglioramenti fondamentali che rafforzano la protezione originale dell’hash:

Quel disastro del giugno 2025, con 16 miliardi di record esposti sulla rete, non è finito in un collasso digitale assoluto proprio grazie a questo meccanismo. Dietro ogni accesso a Google, Meta o alla tua banca online, l’hash opera come un’infrastruttura silenziosa : un muro matematico che si attiva in un millisecondo ogni volta che premi “Invio” per proteggere la tua identità senza che tu te ne accorga.

Tuttavia, nemmeno l’algoritmo più sofisticato del mondo può sostituire l’igiene digitale. L’architettura crittografica fa la sua parte del lavoro pesante contro le violazioni massive; a noi spetta l’altra metà: utilizzare password lunghe, complesse e rigorosamente uniche per ogni servizio.

FAQ

• Perché i siti web non conservano la mia password reale?Per proteggere la tua sicurezza. I siti web conservano un hash derivato dalla tua chiave; così, se subiscono un attacco informatico, gli attaccanti non ottengono la tua password in testo chiaro.
• Cos’è esattamente un hash crittografico?È una stringa alfanumerica di lunghezza fissa generata da una funzione matematica unidirezionale. Permette di verificare che la tua password sia corretta senza bisogno di conoscerla o memorizzarla.
• In cosa differisce l’hash dalla crittografia tradizionale?La crittografia è bidirezionale, mentre l’hash è strettamente unidirezionale.
• Cos’è il “sale” (salt) nella sicurezza delle password?È un testo casuale che il sito web aggiunge alla tua chiave prima di generare l’hash. Ciò impedisce che due password identiche abbiano lo stesso hash e rende inutili gli attacchi con tabelle precalcolate.