C’è qualcosa di rivelatore nel modo in cui scegliamo una password.

In quel momento — mentre il cursore lampeggia e il sistema ci chiede di “creare una password sicura” — non stiamo facendo una scelta tecnica. Stiamo facendo una scelta psicologica. E quella scelta racconta molto di come funziona la nostra mente sotto pressione.

La mente non vuole pensare. Vuole finire.

Daniel Kahneman, psicologo premio Nobel, ha descritto due modalità di funzionamento della mente. Il Sistema 1 è rapido, automatico, intuitivo — governa le nostre scelte quando siamo di fretta, stanchi o semplicemente vogliamo andare avanti. Il Sistema 2 è lento, deliberativo, analitico — ma richiede tempo, attenzione e motivazione.

Quando creiamo una password, quasi sempre è il Sistema 1 a guidarci. Non stiamo valutando la sicurezza: stiamo cercando di completare un compito. Il risultato? Nomi di persone care, date che ricordiamo, parole che ci appartengono emotivamente. Cose che per noi hanno senso immediato. Cose che, per chi vuole violarle, sono esattamente quello che si aspetta.

Una ricerca condotta su dipendenti aziendali ha mostrato che, quando costretti a scegliere una password in 60 secondi, oltre il 90% optava per combinazioni del tipo nome + anno — pattern tipici del pensiero automatico. Quando avevano 5 minuti e nessuna pressione, quasi il 70% produceva sequenze molto più articolate e difficili da prevedere.

Il contesto determina la qualità della scelta. Non l’intelligenza, non la consapevolezza. Il contesto.

Le abitudini si cristallizzano. E diventano prevedibili.

La mente impara attraverso la ripetizione. La neuroplasticità — la capacità del sistema nervoso di modificare le proprie connessioni in base all’esperienza — trasforma i comportamenti ripetuti in abitudini automatiche. Digitare una password diventa un gesto motorio: le dita “ricordano” prima della mente consapevole.

Questo spiega perché, quando siamo obbligati a cambiare password, spesso modifichiamo solo un dettaglio: Password1 diventa Password2, Estate2022 diventa Estate2023. Non stiamo scegliendo qualcosa di nuovo. Stiamo adattando un’abitudine consolidata con il minimo sforzo possibile.

Il paradosso è che queste micro-variazioni — percepite come cambiamenti — sono in realtà pattern altamente prevedibili. Chi sa come funziona la mente umana può anticiparle.

I bias cognitivi rendono le nostre password trasparenti

Il bias di disponibilità ci porta a scegliere ciò che è più facilmente richiamabile alla memoria: il nome del cane, la squadra del cuore, la data di nascita del figlio. Informazioni che per noi hanno valore affettivo e sono facili da ricordare. Informazioni che spesso condividiamo pubblicamente senza pensarci.

L’effetto ancoraggio ci condiziona quando il sistema chiede “almeno 8 caratteri”: la maggior parte delle persone si ferma esattamente a 8. Se il requisito sale a 12, aggiungiamo semplicemente quattro caratteri alla password precedente. Il problema non cambia: cambia solo la soglia a cui ci ancoriamo.

Il present bias ci spinge a privilegiare il beneficio immediato — finire in fretta — rispetto al beneficio futuro e astratto della sicurezza. La minaccia di una violazione è lontana, improbabile, difficile da immaginare. La necessità di completare la registrazione è qui e ora.

La lunghezza conta più della complessità

C’è una credenza diffusa che una password “sicura” debba essere difficile da digitare: simboli speciali, maiuscole e minuscole alternate, numeri inseriti in modo apparentemente casuale. In realtà, la ricerca mostra che la lunghezza è il fattore determinante — molto più della cosiddetta “complessità cosmetica”.

Una passphrase come tigre-caffè-lunedì-finestra è statisticamente più sicura di P4ssw0rd! — e infinitamente più facile da ricordare. Questo perché sfrutta la memoria semantica ed episodica, che è il modo in cui la nostra mente è davvero strutturata per conservare informazioni. Le immagini mentali vivide che una passphrase evoca si “incollano” alla memoria in modo naturale, riducendo il rischio di dimenticarla e la tentazione di scriverla su un foglio.

Uno studio universitario ha confrontato i due approcci: dopo due settimane, il 70% di chi aveva scelto una password complessa tradizionale l’aveva dimenticata almeno una volta, contro il 15% di chi aveva usato una passphrase.

Scegliere una password è un atto psicologico

Quello che ci viene chiesto quando creiamo una credenziale non è solo un compito tecnico. È un esercizio di autoregolazione in un momento in cui siamo impazienti, distratti, o semplicemente stanchi. E come ogni comportamento umano, è profondamente influenzato da come funziona la nostra mente: dalle abitudini, dai bias, dallo stato emotivo del momento.

Capire questo non serve per colpevolizzarci quando facciamo scelte poco sicure. Serve per riconoscere che la sicurezza digitale è anche — e forse soprattutto — una questione psicologica. E che costruire abitudini diverse richiede lo stesso processo che accompagna qualsiasi altro cambiamento: consapevolezza, tempo, e un contesto che lo renda possibile.

Dott.ssa Carlotta Pasquini, psicologa a Roma. La mente influenza ogni scelta che facciamo — anche quelle che sembrano puramente tecniche. Se vuoi esplorare come i tuoi schemi mentali agiscono nella vita quotidiana, scrivimi.