Attacco brute force: cos’è, come funziona e come difendersi

Il brute force in breve:

• Cosa fa: prova in sequenza combinazioni di caratteri o password note per ottenere accesso non autorizzato a un account o a un sistema.
• Quando si verifica: soprattutto contro pagine di login, accessi remoti via RDP o VPN, e servizi che non limitano i tentativi di accesso.
• Condizioni di riuscita: dipende dalla lunghezza e complessità della password e dalla presenza o assenza di meccanismi di blocco o limitazione dei tentativi.
• Come verificare l’esposizione: analizzare i log di accesso alla ricerca di picchi di tentativi falliti provenienti dallo stesso IP o da IP distribuiti in pochi secondi.
• Cosa fare: impostare password lunghe, autenticazione a due fattori, limiti ai tentativi di accesso e strumenti di filtraggio del traffico.
• Tempo necessario: varia da pochi secondi per password brevi a tempi tecnicamente non gestibili per passphrase lunghe e casuali.

Come funziona un attacco brute force e quali varianti esistono

Il meccanismo si basa su uno script o un bot che invia richieste di accesso a un sistema di autenticazione, testando ogni volta una combinazione diversa di caratteri fino a trovare quella valida. La velocità del processo dipende dalla potenza di calcolo disponibile e dalla lunghezza della stringa da violare: più la combinazione è lunga, più il numero di tentativi necessari cresce in modo esponenziale.

Non esiste un’unica tecnica: il termine racchiude diverse varianti, ciascuna con un grado differente di efficienza e di tempo richiesto.

L’attacco a dizionario, a differenza della forza bruta pura, non genera caratteri a caso ma attinge da liste di parole di senso compiuto, date e combinazioni già compromesse in passato, riducendo drasticamente il tempo necessario rispetto a un tentativo puramente casuale. Un attacco con regole o con pattern applica invece trasformazioni prevedibili (sostituzione di lettere con numeri, aggiunta di anni) a un elenco di base, colpendo in modo mirato le abitudini più comuni nella creazione delle password.

Quanto tempo serve per violare una password con un attacco a forza bruta

Il tempo necessario dipende da due fattori: la lunghezza/complessità della combinazione e la potenza di calcolo a disposizione dell’aggressore. Non esiste un valore fisso: la stessa password può richiedere pochi secondi o un tempo tecnicamente irraggiungibile a seconda di quanti caratteri la compongono e di quale alfabeto utilizza (solo minuscole, maiuscole, numeri, simboli).

Se la password è corta o lunga: cosa cambia

In caso di attacco a forza bruta, una password corta rappresenta il punto debole più immediato da sfruttare, perché il numero di combinazioni possibili resta gestibile anche con hardware comune.

• Se la password è corta (fino a 6-8 caratteri) e semplice: il numero di combinazioni è limitato e un attacco automatizzato può esaurirle in tempi brevi.
• Se la password è lunga (12 caratteri o più) e mista: l’uso combinato di maiuscole, minuscole, numeri e simboli aumenta in modo esponenziale le combinazioni da testare, rendendo il calcolo troppo oneroso per essere completato in tempi utili.
• Se si utilizza una passphrase: una sequenza di più parole non correlate, pur essendo più semplice da ricordare, risulta più lunga di una password tradizionale e quindi più difficile da sottoporre a forza bruta.

Per questo motivo le linee guida più recenti sulla robustezza delle credenziali privilegiano la lunghezza rispetto alla sola complessità dei caratteri: una passphrase di quattro o cinque parole risulta spesso più resistente di una password breve con simboli.

Come difendersi da un attacco brute force come utente

La difesa più efficace per un singolo utente combina password robuste e un secondo livello di verifica indipendente dalla password stessa.

• Password lunghe e uniche: una stringa diversa per ogni servizio impedisce che la compromissione di un account si propaghi agli altri tramite credential stuffing.
• Autenticazione a due fattori (2FA): richiede un codice temporaneo generato su un dispositivo separato, rendendo inutile la sola password indovinata.
• Passphrase al posto di password brevi: frasi lunghe e non correlate sono più semplici da ricordare e più difficili da calcolare rispetto a password brevi con caratteri speciali.
• Nessun riutilizzo delle credenziali: l’83% circa degli account compromessi tramite credential stuffing sfrutta proprio il riuso delle stesse coppie username/password su più piattaforme.

Questi accorgimenti riducono il rischio sia di un attacco diretto sulla password sia di tecniche derivate, come il credential stuffing, che non si basano sul calcolo ma su elenchi di credenziali già trafugate.

Come prevenire gli attacchi brute force su un sito o un server

Chi amministra un sistema esposto in rete deve agire a livello infrastrutturale, perché nessuna password, per quanto robusta, elimina da sola il rischio di un volume massiccio di tentativi automatizzati.

1. Limitare i tentativi di accesso (rate limiting): bloccare o rallentare un indirizzo IP dopo un numero massimo di tentativi falliti in un intervallo di tempo definito.
2. Attivare il blocco dell’account: sospendere temporaneamente l’accesso a un account dopo ripetuti errori consecutivi, indipendentemente dall’IP di provenienza.
3. Introdurre un CAPTCHA: impedire ai bot di completare automaticamente il modulo di login mediante una verifica interattiva.
4. Eliminare gli username predefiniti: sostituire utenze standard come “admin” o “administrator”, che costituiscono il primo bersaglio dei bot automatizzati.
5. Implementare un WAF: filtrare le richieste sospette provenienti da una singola origine in un intervallo di tempo ristretto, prima che raggiungano l’applicazione.
6. Attivare l’autenticazione a più fattori anche lato amministrazione: estendere la verifica aggiuntiva agli account con privilegi elevati, i più critici in caso di compromissione.

Queste misure si applicano anche ai protocolli di accesso remoto come RDP e alle connessioni VPN, due dei vettori più sfruttati per campagne di forza bruta su larga scala contro infrastrutture aziendali: una singola campagna distribuita può coinvolgere milioni di indirizzi IP unici impegnati simultaneamente contro lo stesso bersaglio. Per i team che gestiscono infrastrutture in ambiente di produzione, le stesse regole di limitazione vanno applicate anche agli endpoint esposti tramite API, spesso privi dei controlli presenti sulle pagine di login tradizionali.

Cosa succede durante e dopo un attacco a forza bruta

Durante l’attacco il sistema bersaglio riceve una raffica di richieste di autenticazione in un intervallo di tempo molto breve, spesso migliaia o milioni al minuto se l’attacco è distribuito su più dispositivi.

• Tentativi massivi: il software dell’attaccante invia richieste continue al sistema di autenticazione, mascherando spesso l’attività tramite botnet per confonderla con traffico legittimo.
• Violazione dell’account: se la password è debole o corta, il sistema cede e l’attaccante ottiene credenziali valide.
• Effetto a cascata: un singolo account compromesso, soprattutto se appartiene a un amministratore, può essere usato per accedere ad altri account o sistemi collegati.
• Impatto sulle prestazioni del server: ricevere milioni di richieste di login in pochi secondi consuma risorse di calcolo e di rete, causando rallentamenti o, nei casi più gravi, un’interruzione simile a quella di un attacco DDoS.
• Conseguenze successive: una volta dentro, l’aggressore può installare malware o ransomware, sottrarre dati sensibili o usare l’accesso come base per attacchi più ampi.

A differenza di un attacco DDoS, il cui obiettivo è interrompere un servizio sovraccaricandolo di traffico, il brute force mira a ottenere credenziali valide: l’eventuale rallentamento del server è un effetto collaterale del volume di richieste, non l’obiettivo primario.

Quando un attacco brute force è reato e quando è lecito

In Italia, condurre un attacco brute force senza autorizzazione del titolare del sistema integra il reato di accesso abusivo a un sistema informatico o telematico, disciplinato dall’art. 615-ter c.p., che punisce chiunque si introduce o si mantiene senza autorizzazione in un sistema protetto da misure di sicurezza, con pena base fino a tre anni di reclusione, aumentata in presenza di circostanze aggravanti.

Quando diventa lecito: il penetration test autorizzato

L’attività diventa lecita esclusivamente in presenza di un consenso esplicito e preventivo da parte del proprietario del sistema, nell’ambito di un penetration test o di un programma di hacking etico formalmente concordato. In questo caso lo stesso metodo di tentativo sistematico delle credenziali viene impiegato per verificare la resistenza delle difese, non per ottenere un accesso indebito.

La distinzione tra le due situazioni non dipende dalla tecnica usata, identica in entrambi i casi, ma dall’autorizzazione: senza un mandato scritto del titolare del sistema, qualsiasi tentativo di forza bruta resta perseguibile penalmente, indipendentemente dall’intenzione dichiarata dall’esecutore.

Errori frequenti che facilitano un attacco brute force

Alcune configurazioni, pur non essendo errori di sicurezza evidenti, riducono drasticamente il tempo necessario per violare un sistema.

Username predefiniti non modificati

Account come “admin” o “administrator” restano il primo bersaglio testato dai bot, perché eliminano la necessità di indovinare anche il nome utente.

Assenza di blocco dopo tentativi falliti

Senza un limite ai tentativi, un attacco può proseguire indefinitamente senza generare alcun ostacolo tecnico.

Password riutilizzate su più servizi

Una password compromessa su un sito diventa immediatamente sfruttabile su ogni altro account che la condivide, tramite credential stuffing.

Hash delle password non salati

In assenza di un valore casuale aggiunto prima dell’hashing, un attacco rainbow table può confrontare hash precalcolati e risalire alla password originale molto più rapidamente.

Nessuno di questi elementi genera da solo una violazione: è la combinazione di più fattori deboli, uniti all’assenza di un sistema di rilevamento dei tentativi anomali, a rendere un attacco brute force effettivamente praticabile in tempi brevi.

Domande frequenti

Che cos’è un attacco brute force?

È un metodo di violazione che tenta sistematicamente ogni combinazione possibile di caratteri per indovinare una password, una chiave di cifratura o un PIN, utilizzando software automatizzati capaci di generare migliaia di tentativi al minuto.

Cosa succede in caso di attacco a forza bruta?

Il sistema riceve una raffica di tentativi di accesso in pochi secondi; se la password è debole il sistema cede e l’attaccante ottiene l’accesso, con possibile effetto a cascata su altri account e un sovraccarico delle risorse del server bersaglio.

Quale tipo di attacco consente a un hacker di utilizzare un approccio brute force?

Qualsiasi sistema protetto da credenziali statiche è esposto: pagine di login web, accessi remoti via RDP, connessioni VPN e file cifrati sono i bersagli più comuni, poiché la tecnica si applica a qualunque punto di autenticazione basato su password.

Quanto tempo richiede un attacco brute force?

Dipende dalla lunghezza e complessità della combinazione: password corte possono essere violate in tempi brevi, mentre passphrase lunghe e casuali richiedono una potenza di calcolo tale da renderle tecnicamente non gestibili in tempi utili.

Che differenza c’è tra attacco brute force e attacco a dizionario?

Il brute force puro genera ogni combinazione possibile di caratteri, mentre l’attacco a dizionario testa solo parole, date e password già note o compromesse in passato, risultando più rapido ma meno esaustivo.

È reato effettuare un attacco brute force in Italia?

Sì, salvo autorizzazione esplicita del titolare del sistema: senza consenso, l’accesso o il tentativo di accesso non autorizzato integra il reato di accesso abusivo a un sistema informatico previsto dall’art. 615-ter c.p.

Come ci si difende da un attacco brute force?

Combinando password lunghe o passphrase, autenticazione a due fattori, limitazione dei tentativi di accesso, CAPTCHA e, per i sistemi esposti in rete, un firewall applicativo che filtri le richieste sospette.