Resta aggiornato: iscriviti al canale Telegram
Quattordici milioni di giocatori. Quasi otto ore a settimana passate davanti a uno schermo. Un mercato che vale quasi due miliardi e quattrocento milioni di euro. I numeri del gaming italiano, fotografati dal report IIDEA-Ipsos 2025 ripreso da Il Sole 24 Ore, non lasciano spazio a dubbi: il nostro è un Paese che ama i videogiochi, e li ama sul serio.
Ma dietro ogni account Steam carico di titoli AAA, ogni profilo PSN con anni di trofei collezionati e ogni Nintendo Account pieno di salvataggi preziosi si nasconde qualcosa che va ben oltre il valore sentimentale.
Librerie digitali da centinaia di euro, metodi di pagamento salvati, crediti in-game e identità sociali: tutto questo rappresenta un patrimonio che è direttamente monetizzabile sul dark web.
E più il tempo di gioco cresce, più la consapevolezza dei rischi arranca. È una passione che spesso sopravanza la prudenza, e gli hacker lo sanno benissimo.
Hacker a caccia di account gaming: le tre tattiche che dominano il 2025-2026
Se pensi che rubare un account sia roba da film, ti sbagli. Nel 2025 e 2026 gli attacchi contro i gamer sono cresciuti in volume e sofisticazione, seguendo tre direttrici principali che conviene conoscere.
Credential stuffing automatico
Partiamo dal dato più scomodo: secondo il Verizon 2025 Data Breach Investigations Report, le credenziali compromesse sono state il vettore d’accesso iniziale nel 22% di tutte le violazioni confermate — il più alto tra tutti i metodi, per il terzo anno di fila.
E il motivo è semplice: solo il 49% delle password di uno stesso utente è davvero unica. Significa che più della metà delle nostre credenziali viene riciclata su più servizi.
Il credential stuffing, in pratica, sfrutta proprio questa pigrizia: bot automatizzati provano milioni di combinazioni email-password rubate da altri breach, sperando che tu le abbia riutilizzate altrove. Secondo la stessa analisi, in media il 19% di tutti i tentativi di login giornalieri sui provider SSO è un attacco di questo tipo, con picchi che nei grandi provider arrivano al 25%.
Le piattaforme di gaming sono esplicitamente citate nel report tra i bersagli preferiti. Non è difficile capire perché: un account Steam con centinaia di giochi vale parecchio, e il riutilizzo delle password fa il resto.
Phishing su misura per i gamer
Tra gennaio e ottobre 2025, un fornitore di servizi di sicurezza ha rilevato oltre 2 milioni di tentativi di phishing che impersonavano Steam, PlayStation e Xbox. In totale, le piattaforme gaming hanno subito più di 20 milioni di attacchi nello stesso periodo, con Discord abusato in oltre 18,5 milioni di casi — un’esplosione di quattordici volte rispetto all’anno precedente.
Non stiamo parlando di email piene di errori grammaticali: oggi il phishing sfrutta l’AI generativa, e le esche sono sempre più credibili.
Infostealer: la fabbrica delle credenziali
Il terzo pilastro dell’offensiva si chiama infostealer. Nel 2025, secondo i dati di Flashpoint e DeepStrike analizzati da Shattered.io, questi malware hanno rubato oltre 1,8 miliardi di credenziali da 5,8 milioni di dispositivi infetti — un aumento dell’800% rispetto agli anni precedenti. La crescita dei log infostealer nei marketplace del dark web è stata dell’800% dal 2021.
Il dato più allarmante? Password e cookie di sessione rubati compaiono nell’86% delle violazioni analizzate, e oltre il 54% delle vittime di ransomware aveva credenziali già esposte nei log infostealer prima dell’attacco. Tradotto: se il tuo dispositivo è infetto, l’MFA potrebbe non bastare a salvarti.
Perché i gamer italiani sono un bersaglio così facile: numeri e (cattive) abitudini
L’Italia, in tutto questo, non se la passa bene. Il Rapporto Clusit 2026 riporta 507 incidenti gravi nel 2025 — il 9,6% del totale globale — con il 35% degli incidenti contro organizzazioni italiane degli ultimi cinque anni concentrato nel solo 2025. A livello globale, gli attacchi phishing e social engineering sono cresciuti del 75%, trainati proprio dall’AI generativa che rende le email-esca sempre più convincenti.
Poi ci sono le nostre abitudini. Un’indagine di mUp Research per Facile.it, ripresa da InternetPost, rivela numeri che fanno accapponare la pelle: 8,7 milioni di italiani hanno subito una violazione informatica nel 2025. Ma la parte peggiore è come gestiamo le password. Quattro milioni e seicentomila italiani usano la stessa password ovunque. Quasi un milione scrive ancora “password”. Due milioni e settecentomila scelgono sequenze come “1234”, e due milioni e trecentomila usano la propria data di nascita.
La classifica NordPass 2025, analizzata da Eritel, mette “admin” in vetta in Italia con oltre 340.000 occorrenze, seguita da “password” e “123456”. Quasi un italiano su tre (il 30%) annota le password su carta o su un’agenda, il 15% le salva sul telefono e il 10% in un file sul PC. Solo 5 milioni usano un password manager.
E per finire, nel 2025 la Polizia Postale ha gestito 51.560 casi di attacchi informatici. I numeri parlano chiaro: siamo un bersaglio facile perché non facciamo abbastanza per non esserlo.
Casi reali: quando il furto colpisce Steam, PSN e Nintendo (e non solo le celebrità)
Pensi che capiti solo agli altri? Ecco tre storie che potrebbero farti cambiare idea.
PlayStation Network: il bypass del supporto
Nel 2026 è emersa una falla nel sistema di recupero account PSN che ha fatto rumore: gli hacker riuscivano a sottrarre profili usando solo l’ID utente e un dettaglio di transazione, aggirando completamente l’autenticazione a due fattori tramite il supporto Sony. Everyeye.it ha ricostruito la vicenda, che ha colpito anche il content creator Colin Moriarty.
Ma non servono follower per finire nel mirino. Il giornalista francese Nicolas Lellouche, come riportato da NotebookCheck, ha subito due furti consecutivi in un’ora, nonostante avesse la 2FA attiva. L’hacker ha ottenuto il reset dell’account fornendo solo un numero di transazione da una ricevuta che il giornalista aveva condiviso online. Morale: a volte la falla è umana, e sta dall’altra parte del telefono.
Steam: dati in fuga e phishing a catena
Ad agosto 2026, un attacco a CEVA Logistics — il partner che spedisce l’hardware Steam ai clienti europei — ha esposto nomi, indirizzi, email e dettagli d’ordine. Valve ha avvertito i clienti di aspettarsi tentativi di phishing, come documentato da BleepingComputer.
Un anno prima, nel 2025, un venditore del dark web ha messo in vendita dati di 89 milioni di account Steam. Valve ha confermato che si trattava di vecchi SMS 2FA e numeri di telefono, non di password, ma l’episodio ha mostrato la fame di dati associati ai profili gaming.
Nintendo: phishing “ufficiale”
Nintendo ha ufficialmente avvertito gli utenti di email di phishing camuffate da rinnovo automatico di Nintendo Switch Online, con link a siti malevoli. Zelda Universe ha riportato l’avviso, ricordando che le comunicazioni vere arrivano solo da no-reply@accounts.nintendo.com.
E non dimentichiamo il precedente del 2020, ricostruito da SentinelOne: 160.000 account Nintendo compromessi via credential stuffing. La minaccia non è nuova, ma oggi è molto più aggressiva.
Kit di sopravvivenza per gamer: 5 step per blindare davvero i tuoi account
Ora che abbiamo visto il problema, passiamo alle soluzioni. Non serve una laurea in informatica: bastano cinque abitudini.
Step 1 – Password uniche (davvero) con un gestore dedicato
Il riutilizzo delle password è il tallone d’Achille del 49% degli utenti, come visto nei dati Verizon. Tuttavia, il Verizon 2025 DBIR riporta che, in media, solo il 49% delle password degli utenti è distinto tra diversi servizi, indicando un tasso di riutilizzo superiore al 50%. La soluzione? Un gestore di password che genera credenziali complesse e diverse per ogni account, e le ricorda al posto tuo. Niente più foglietti, niente più “admin123”.
Se quasi 5 milioni di italiani segnano ancora le password su carta o le salvano in chiaro sul telefono, adottare un password manager è il singolo gesto che cambia tutto. Un generatore password integrato ti permette di creare stringhe casuali con la lunghezza e i caratteri che vuoi — e di non dovertele mai ricordare.
Step 2 – Autenticazione a più fattori (quella vera)
L’MFA blocca oltre il 99,9% degli attacchi basati su credenziali, secondo i dati di telemetria Microsoft citati da CyberFence Platform. Attivala su Steam, PSN e Nintendo ovunque disponibile.
Ma attenzione: non tutta l’MFA è uguale. Gli SMS 2FA sono bypassabili (lo abbiamo visto con il caso Steam). Meglio un’app authenticator o una chiave hardware. Considera che un attacco di credential stuffing riuscito può causare gravi danni. Vale la pena rischiare per risparmiare trenta secondi di configurazione?
Step 3 – Occhio al phishing: impara a riconoscere le email-esca
Le email di phishing oggi sono scritte dall’AI e sembrano perfette. La difesa parte da una checklist mentale: controllare sempre il dominio del mittente, non cliccare link diretti (apri il sito ufficiale a mano), diffidare di urgenze come “la tua password scade tra 24 ore”.
Pensa alle false notifiche Nintendo Switch Online o alle email post-attacco a CEVA Logistics: sembravano comunicazioni ufficiali. Per approfondire come si riconoscono le email-esca, leggi il nostro articolo Allarme Phishing in Italia: l’ultima truffa ha la falsa firma di Intesa San Paolo.
Step 4 – Monitorare le violazioni con gli alert
Con 16 miliardi di credenziali esposte in un unico mega-dataset scoperto nel 2025, è probabile che qualche tua combinazione sia già in circolazione. Servizi come Have I Been Pwned e le funzioni di monitoraggio dei password manager ti avvisano se le tue credenziali compaiono in un breach.
Regola d’oro: se un account salta, cambia subito la password. E se quella password la usavi altrove, cambiala anche lì. Subito.
Step 5 – Stop agli infostealer: proteggi il dispositivo
LummaC2, Vidar, RisePro e StealC sono i malware più attivi nel 2025. Secondo l’analisi di DeepStrike, affittare un infostealer costa appena 99 dollari al mese: un investimento ridicolo per chi vuole rubare milioni di credenziali.
Cosa fare? Non scaricare cheat, mod o software piratato — sono i vettori principali. Tieni aggiornati sistema operativo e antivirus. Evita di salvare password nei browser se il dispositivo non è protetto da autenticazione locale forte. E ricorda: i cookie di sessione rubati rendono inutile anche la 2FA migliore, perché l’hacker si autentica come se fosse già loggato.
I limiti di ogni strategia fai-da-te: cosa nemmeno lo step perfetto può fermare
Siamo onesti: anche con tutti gli accorgimenti del mondo, esistono vulnerabilità che sfuggono al nostro controllo.
La falla di recupero account PSN del 2026 lo dimostra: una catena di sicurezza robusta può essere aggirata dal social engineering sul supporto clienti.
Il phishing potenziato dall’AI può ingannare anche utenti scafati. E nessun password manager o 2FA protegge dal furto di token di sessione se il dispositivo è compromesso.
La sicurezza non è un prodotto che compri una volta e dimentichi: è un processo fatto di attenzione quotidiana, aggiornamenti costanti e, quando serve, segnalazioni.
Ogni tentativo di violazione va comunicato alle piattaforme e alla Polizia Postale: è così che si rafforzano le difese di tutti.
Conclusione: non serve diventare esperti di cybersecurity, bastano costanza e buone abitudini
Cinque step. Password uniche generate da un gestore, autenticazione a più fattori vera, occhio clinico sul phishing, monitoraggio delle violazioni e protezione del dispositivo. Niente di fantascientifico: sono piccoli gesti da integrare nella routine, come salvare la partita prima di uscire.
Il costo di un account perso — in euro, in ore di recupero, in identità digitali cancellate — supera di gran lunga lo sforzo di proteggerlo. Con i dati giusti e gli strumenti che oggi abbiamo a disposizione, i gamer italiani possono smettere di essere il bersaglio preferito e diventare un modello di sicurezza consapevole.
Non è questione di paranoia: è questione di rispetto per quello che abbiamo costruito, un pixel alla volta.
